하우리 ViRobot 서버 제품 보안 취약점

[truefeel]

SecurityFocus에 눈에 띄는 취약점이 하나 보였습니다.
국내 하우리의 ViRobot 서버 제품에 디렉토리를 맘대로 이동(directory traversal)가능한 취약점이 있다는 것입니다.

이 서버 제품은 압축파일의 스캐닝 전에 임시 디렉토리에 파일을 풀고 검사하는데, 이 때 파일명을 제대로 검사하지 않는게 문제입니다.
인증되지 않은 사용자가 압축파일명에 '../' 문자를 추가해서 임의의 디렉토리에 파일을 쓸 수 있는 취약점입니다.


* 취약한 제품