🇰🇷 한글 설명
BLNews 2.1.3의 objects.inc.php4 파일에서 Server[path] 매개변수가 제대로 검증되지 않아, 원격 공격자가 공격자 서버의 악성 PHP 코드를 로드하여 실행할 수 있는 취약점입니다. 이를 통해 웹 서버에 완전한 제어권을 획득할 수 있습니다.
💡 쉬운 설명
BLNews 웹 애플리케이션의 파일 경로 설정 부분에 보안 검사가 없어서, 해커가 자신의 서버에 있는 악성 코드를 실행시킬 수 있습니다. 웹사이트 전체가 위험에 노출됩니다.
🇺🇸 원문 (English)
objects.inc.php4 in BLNews 2.1.3 allows remote attackers to execute arbitrary PHP code via a Server[path] parameter that points to malicious code on an attacker-controlled web site.
📍 영향받는 시스템
BLNews 2.1.3 및 이전 버전
⚔️ 공격 벡터
objects.inc.php4의 Server[path] 매개변수에 공격자 제어 URL을 입력하여 원격 PHP 코드 실행 유도
🛡️ 대응 방법
BLNews를 최신 보안 패치가 적용된 버전으로 즉시 업그레이드, 또는 Server[path] 매개변수에 대한 엄격한 입력 검증 및 화이트리스트 적용
🔧 검증 코드
파일이 발견되면 취약한 BLNews가 설치된 것이므로 즉시 업그레이드 필요, 파일이 없으면 취약점 미존재
find / -name 'objects.inc.php4' 2>/dev/null