🇰🇷 한글 설명
Goobi viewer는 디지털화된 자료를 웹 브라우저에서 보여주는 웹 애플리케이션입니다. 26.05 이전 버전에서는 비밀번호 재설정 링크에 접근하면 예측 가능한 방식으로 임시 비밀번호가 생성되어 계정 소유자에게 이메일로 발송되며, 엔트로피가 부족해 서버 생성 시각을 추정할 수 있는 공격자가 무차별 대입으로 비밀번호를 알아낼 수 있습니다. 26.05 버전에서 패치되었습니다.
💡 쉬운 설명
비밀번호 재설정 시 만들어지는 임시 비밀번호가 쉽게 추측될 수 있는 방식으로 만들어집니다. 공격자가 생성 시점을 짐작하면 이를 맞혀 계정에 로그인할 수 있습니다.
🇺🇸 원문 (English)
The Goobi viewer is a web application that allows digitised material to be displayed in a web browser. Prior to version 26.05, when a password reset link is visited, the application generates a replacement password in a predictable way and emails it to the account holder. The insufficient entropy allows the password to be brute-forced by an attacker who can approximate the server-side generation time. Exploiting this finding in isolation requires the victim to have triggered the reset themselves and the attacker to infer the server time from network or email metadata. This issue has been patched in version 26.05.
📍 영향받는 시스템
Goobi viewer 26.05 미만 버전
⚔️ 공격 벡터
피해자가 비밀번호 재설정을 요청한 뒤, 공격자가 네트워크나 이메일 메타데이터로 서버 시각을 추정해 임시 비밀번호를 무차별 대입
🛡️ 대응 방법
Goobi viewer를 26.05 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 26.05 미만이면 취약하며, 26.05 이상이면 패치된 것입니다. 결과가 없으면 설치 경로를 직접 확인해야 합니다.
grep -ri 'goobi' /opt /usr/local /var/lib/tomcat* 2>/dev/null | grep -iE 'version' | head -n 5
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server