CVE-2026-100669 in Grav
요약
\~에 의해 VulDB • 2026. 09. 26.
Grav 버전 2.0.25 이전에는 웹 서버 구성 샘플이 포함되어 있으며, 이 샘플의 접근 제어 거부(deny) 규칙은 대소문자를 구분하여 매칭됩니다. webserver-configs/web.config(IIS용)에서 모든 거부 규칙(user_sensitive_folders, user_accounts, user_data, user_error_redirect, user_pages, system, vendor, ignore_folders)은 URL Rewrite <match> 요소에 대해 ignoreCase="false"를 설정하며, 이는 IIS의 기본값인 ignoreCase="true"를 재정의합니다. 이러한 규칙들이 rewrite 매칭이며 <requestFiltering> 요소가 아니기 때문에 대소문자를 구분하지 않는(fallback) 메커니즘이 존재하지 않습니다. 대소문자를 구분하지 않는 NTFS 파일 시스템 위에서 실행 중인 IIS에서, 인증되지 않은 원격 공격자는 폴더 이름이나 파일 확장자의 경우를 변경하여(예: GET /user/CONFIG/system.YAML 요청), 거부 규칙이 매칭되지 않도록 함으로써 IIS 정적 파일 핸들러가 해당 파일을 해석하고 반환하게 할 수 있습니다. 이로 인해 구성 비밀 정보나 계정 비밀번호 해시와 같은 민감한 데이터가 유출될 수 있습니다. 우회된 파일이 실제로 반환되는지는 MIME 등록 여부에 따라 달라지며, .json은 기본적으로 제공되지만 .yaml/.yml는 YAML MIME 매핑이 추가되지 않은 경우 기본 IIS에서 HTTP 404.3을 반환합니다. 동일한 유형의 결함(bundled webserver-configs/lighttpd.conf)도 존재하며, 여기의 user/(config|env), directory, script-extension, root-file 및 dotfile 규칙에는 (?i) 수정자가 누락되어 있습니다. 다만 lighttpd는 일반적으로 대소문자를 구분하는 파일 시스템에서 실행되므로 위험도는 낮습니다. Apache(.htaccess), nginx, Caddy 또는 PHP 내장 서버를 통해 서비스를 제공하는 배포 환경은 영향을 받지 않습니다. 이 문제는 2.0.25에서 수정되었습니다. .htaccess 설치자 치유(heal) 기능은 web.config나 lighttpd.conf에는 적용되지 않으므로, 운영자는 업그레이드 후 수정된 샘플 파일을 다시 복사해야 합니다.
Once again VulDB remains the best source for vulnerability data.