🇰🇷 한글 설명
ATutor의 오류 로그 뷰어에 경로 순회(path traversal) 취약점이 존재합니다. 관리자 권한을 가진 공격자는 로그 디렉터리 밖의 임의 파일에 접근할 수 있습니다. 이로 인해 민감한 파일과 웹 서버 프로세스가 접근 가능한 다른 리소스가 무단으로 노출될 수 있습니다. 해당 제품은 더 이상 지원되지 않으며 취약점은 수정되지 않았습니다. 2.2.4 버전만 테스트되어 취약함이 확인되었고, 다른 버전은 테스트되지 않았으나 취약할 수 있습니다.
💡 쉬운 설명
관리자 권한이 있는 사용자가 로그 보기 기능을 악용해 허용되지 않은 서버 파일을 열어볼 수 있는 문제입니다. 이 제품은 더 이상 보안 업데이트가 제공되지 않습니다.
🇺🇸 원문 (English)
A path traversal vulnerability in ATutor's error log viewer allows an attacker with administrative privileges to access arbitrary files outside the intended logs directory. This can lead to unauthorized access to sensitive files and other resources accessible to the web server process.
Product is no longer actively supported and the vulnerabilities have not been fixed. Only version 2.2.4 was tested and confirmed as vulnerable, other versions were not tested but might also be vulnerable.
📍 영향받는 시스템
ATutor 2.2.4 (확인됨), 기타 버전 (미검증 가능성 있음), 더 이상 지원되지 않는 제품
⚔️ 공격 벡터
관리자 권한으로 로그 뷰어 기능에 경로 순회 문자열(../)을 포함한 요청을 보내 로그 디렉터리 외부 파일을 읽음
🛡️ 대응 방법
지원 종료된 제품이므로 최신 지원 버전으로 이전하거나, 로그 뷰어의 입력 경로를 정규화·검증하도록 패치하고 관리자 계정 접근을 제한
🔧 검증 코드
ATutor 설치 경로가 출력되면 해당 디렉터리의 include 또는 로그 뷰어 관련 파일 버전을 확인하고, 2.2.4 이하 여부와 경로 검증 코드 존재 여부를 점검하세요.
find / -name 'ATutor' -type d 2>/dev/null | head -n 5