🇰🇷 한글 설명
Twig 웹메일 시스템에서 vhosts 변수가 설정되지 않을 때 제대로 초기화되지 않아 원격 공격자가 index.php3의 vhosts 파라미터를 통해 임의의 PHP 코드를 삽입할 수 있는 취약점입니다. 이는 원격 코드 실행으로 이어져 서버가 완전히 손상될 수 있습니다.
💡 쉬운 설명
Twig 웹메일에서 필수 설정이 누락되면 공격자가 특정 파라미터를 조작하여 악성 코드를 실행할 수 있습니다. 이는 공격자에게 서버의 완전한 제어를 제공합니다.
🇺🇸 원문 (English)
Twig webmail system does not properly set the "vhosts" variable if it is not configured on the site, which allows remote attackers to insert arbitrary PHP (PHP3) code by specifying an alternate vhosts as an argument to the index.php3 program.
📍 영향받는 시스템
Twig webmail system (모든 버전, vhosts 미설정 시)
⚔️ 공격 벡터
HTTP GET/POST 요청의 vhosts 파라미터에 PHP 코드 주입
🛡️ 대응 방법
Twig webmail 업그레이드 및 vhosts 변수 초기화 설정 적용
🔧 검증 코드
vhosts 관련 설정이 존재하고 초기화되었는지 확인하며, 없으면 업그레이드 필요
grep -r 'vhosts' /var/www/*/index.php3 2>/dev/null || echo 'Twig webmail not found'