🇰🇷 한글 설명
OptimiDoc Server (On-Premise)가 외부 서비스용 자격 증명을 평문으로 저장하는 취약점이 발견되었습니다. 인증된 관리자가 웹 관리 패널의 페이지 소스를 통해 SMTP, FTP, Active Directory, SharePoint 등의 비밀번호를 그대로 확인할 수 있어 민감한 데이터가 노출될 위험이 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사람이 웹사이트의 소스 코드를 들여다보는 것만으로도 연결된 다른 서비스들의 비밀번호를 쉽게 알아낼 수 있는 문제입니다. 이로 인해 연동된 이메일이나 파일 서버 등의 보안이 위험해질 수 있습니다.
🇺🇸 원문 (English)
OptimiDoc Server (On-Premise) stores credentials for external services in cleartext. An authenticated administrator can view previously configured service passwords, including SMTP, FTP (for scan delivery), Active Directory (for user list import), and SharePoint credentials, in cleartext via the web administration panel page source, allowing exposure of sensitive third-party authentication data.
This issue was fixed in version 26.08
📍 영향받는 시스템
OptimiDoc Server (On-Premise) 26.08 미만 버전
⚔️ 공격 벡터
인증된 관리자가 웹 관리 패널의 페이지 소스 코드를 확인하여 평문으로 노출된 자격 증명을 탈취
🛡️ 대응 방법
OptimiDoc Server를 보안 패치가 적용된 26.08 버전 이상으로 업데이트하십시오.
🔧 검증 코드
관리자 페이지 소스 코드 내에 서비스 비밀번호가 평문(cleartext)으로 포함되어 있는지 확인합니다.
curl -s http://<target_ip>/admin_panel_url | grep -i 'password' || echo 'Manual check required'