🇰🇷 한글 설명
Edito CMS 3.5 버전부터 3.25 버전 사이에서 인증되지 않은 사용자가 설정 파일을 다운로드하여 민감한 데이터가 유출될 수 있는 취약점이 발견되었습니다. 이 문제는 2014년 1월 10일 이후 출시된 버전에서는 제거되었으며, 그 이상의 버전은 영향을 받지 않습니다.
💡 쉬운 설명
웹사이트 관리 도구인 Edito CMS의 보안 허점으로 인해, 로그인하지 않은 외부인이 중요한 설정 파일을 몰래 가져갈 수 있는 문제입니다. 이 파일에는 시스템 운영에 필요한 민감한 정보가 들어있을 수 있어 위험합니다.
🇺🇸 원문 (English)
Web services managed by Edito CMS (Content Management System) in versions from 3.5 through 3.25 leak sensitive data as they allow downloading configuration files by an unauthenticated user.
The issue in versions 3.5 - 3.25 was removed in releases which dates from 10th of January 2014. Higher versions were never affected.
📍 영향받는 시스템
Edito CMS versions 3.5 through 3.25
⚔️ 공격 벡터
인증되지 않은 사용자가 웹 서비스를 통해 직접 설정 파일 다운로드를 시도하는 방식
🛡️ 대응 방법
Edito CMS를 2014년 1월 10일 이후에 출시된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
설정 파일 경로에 접근했을 때 민감한 데이터가 포함된 내용이 출력되면 취약한 상태입니다.
curl -s http://<target_ip>/path/to/config_file | grep -i 'sensitive_data_pattern'