🇰🇷 한글 설명
AlanWeb SCADA의 특정 디렉토리에 대한 권한 검증이 누락되어 발생한 취약점입니다. 공격자는 권한 없이 해당 디렉토리의 모든 파일을 읽거나 일부 파일을 실행할 수 있으며, 특히 연결된 데이터베이스에서 PHP 스크립트를 직접 실행할 수 있는 심각한 위험이 있습니다.
💡 쉬운 설명
허가받지 않은 사용자가 관리자 권한 없이도 시스템 내부 파일을 몰래 읽거나 실행할 수 있는 보안 구멍입니다. 이를 통해 해커가 데이터베이스를 마음대로 조작하는 명령을 내릴 수도 있습니다.
🇺🇸 원문 (English)
AlanWeb SCADA does not enforce authorization for some directories. This allows an unauthorized attacker to read all files in these directories and even execute some of them. Critically the attacker could run PHP scripts directly on the connected database.
This issue was fixed in AlanWeb SCADA version 9.8.5
📍 영향받는 시스템
AlanWeb SCADA 9.8.5 미만 버전
⚔️ 공격 벡터
권한 검증이 없는 디렉토리에 접근하여 파일 읽기 및 PHP 스크립트 실행
🛡️ 대응 방법
AlanWeb SCADA를 최신 보안 패치가 적용된 9.8.5 버전 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 시 권한 없이 파일 목록이나 특정 파일의 내용이 출력되면 취약한 상태입니다.
curl -s http://<target_ip>/path/to/vulnerable_dir/ | grep -i 'directory_listing_or_file_content'