🇰🇷 한글 설명
2025년 9월 19일 이전의 Hospital Manager 백엔드 서비스는 잘못된 WebResource.axd 요청에 대해 상세한 ASP.NET 오류 페이지를 반환했습니다. 이 과정에서 프레임워크 및 ASP.NET 버전 정보, 스택 트레이스, 내부 경로 및 'customErrors mode="Off"'와 같은 보안 설정 미비 사항이 노출되어 인증되지 않은 공격자의 정찰 활동에 이용될 수 있었습니다.
💡 쉬운 설명
웹사이트가 오류가 났을 때 너무 자세한 내부 정보를 화면에 보여주는 보안 결함이 발견되었습니다. 해커는 이 정보를 통해 시스템의 구조와 버전을 파악하여 다음 공격을 준비할 수 있습니다.
🇺🇸 원문 (English)
Prior to September 19, 2025, the Hospital Manager Backend Services returned verbose ASP.NET error pages for invalid WebResource.axd requests, disclosing framework and ASP.NET version information, stack traces, internal paths, and the insecure configuration 'customErrors mode="Off"', which could have facilitated reconnaissance by unauthenticated attackers.
📍 영향받는 시스템
Hospital Manager Backend Services (2025년 9월 19일 이전 버전)
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 WebResource.axd 요청을 전송하여 상세 오류 메시지 유도
🛡️ 대응 방법
ASP.NET 설정에서 'customErrors mode'를 'On' 또는 'RemoteOnly'로 변경하여 상세 오류 노출 차단
🔧 검증 코드
요청 시 상세한 스택 트레이스나 내부 경로가 포함된 HTML 응답이 반환되면 취약한 상태입니다.
curl -s -I http://<target-ip>/WebResource.axd | grep -i 'HTTP/1.1 500'