🇰🇷 한글 설명
koozali의 SME Server 버전 11.0rc1-215의 도메인 생성 기능에서 높은 권한을 가진 공격자가 예약된 Apache 설정 지시문을 주입할 수 있는 취약점이 발견되었습니다. 이로 인해 httpd.conf 파일이 손상되어 서버 재부팅 시 Apache가 시작되지 못하며, 결과적으로 웹 서버 및 호스팅된 가상 호스트에 서비스 거부(DoS) 상태를 유발합니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 서버 설정 파일에 잘못된 명령어를 몰래 끼워 넣을 수 있는 문제입니다. 이로 인해 서버가 다시 켜질 때 웹사이트 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
Brian Mariani from DigitalCanion SA has discovered a vulnerability in the domain creation functionality of koozali's
SME Server version 11.0rc1-215, allowing an attacker with high privileges
to inject reserved Apache configuration directives, corrupting
httpd.conf and preventing Apache from starting after a server reboot,
resulting in a denial-of-service (DoS) condition affecting the web
server and its hosted virtual hosts.
📍 영향받는 시스템
koozali SME Server version 11.0rc1-215
⚔️ 공격 벡터
높은 권한을 가진 사용자가 도메인 생성 기능을 통해 Apache 설정 지시문 주입
🛡️ 대응 방법
해당 소프트웨어의 보안 패치 적용 또는 도메인 생성 시 입력값 검증 로직 강화
🔧 검증 코드
명령어 결과에 '11.0rc1-215' 버전이 포함되어 있으면 해당 취약점에 노출된 상태입니다.
dpkg -l | grep 'sme-server' 2>/dev/null | grep -E '11.0rc1-215'