web-misconf-1

vm에 들어가면 이런 화면이 나온다. 로그인 이후 Oraganizations에 플래그가 있다고 한다.

default 계정이 있는지 확인하기 위해 admin/admin을 입력해 본다.

성공적으로 로그인 된다. 비밀번호 변경은 skip해 주도록 한다.

메뉴를 모두 뒤져보니 Server Admins에 Organizations를 줄인 것 같은 Orgs 메뉴가 있다.

Settings의 auth.anonymous에 플래그가 있었다. 이 문제는 default 계정이 있으면 안된다는 문제, 즉 Security Misconfiguration 취약점에 포함된다.

Security Misconfiguration이란,
OWASP TOP 10 2021에서 A05로 나온 취약점으로, 설정 오류, 잘못된 설정, 미비한 설정으로 인해 발생되는 취약점이다. 최초 설치 또는 업데이트 시 보안성을 고려하지 않은 설정을 적용하는 경우이다.

이는 애플리케이션 설치 시 기본 제공 기능, 구성 요소, 문서, 샘플을 제거하여 해결할 수 있다. 또한, 최초 설치 또는 업데이트 시 적절한 보안 설정이 적용되었는지 검토, 검증하는 프로세스를 구현한다. 그 외에는 보안 헤더를 적용하여 보안을 강화함으로써 취약점을 제거할 수 있다.

유형

• 애플리케이션에 적절한 보안 강화가 누락, 클라우드 권한이 부적절하게 구성된 경우
• 불필요한 기능 (ex. 불필요한 포트, 서비스, 페이지, 계정 또는 권한) 활성화 또는 설치되어 있는 경우
• Defalt 계정, 암호가 활성화되어 있고, 변경되지 않은 경우
• 오류 메시지를 통해 애플리케이션 정보가 노출되는 경우
• 보안 헤더 설정이 누락된 경우