🇰🇷 한글 설명
phpGroupWare의 Virtual File System(VFS) 기능이 웹 document root 아래 위치한 파일 경로에 대해 적절한 접근 제어를 구현하지 않아 공격자가 인증 없이 민감한 파일에 접근할 수 있는 심각한 취약점입니다. VFS 메커니즘의 보안 검증 부재로 인해 시스템 정보 유출 및 권한 상승이 가능합니다.
💡 쉬운 설명
phpGroupWare의 파일 관리 기능이 보호되지 않아 공격자가 숨겨진 파일에 직접 접근할 수 있습니다. 이를 통해 개인 정보나 설정 파일을 탈취할 수 있습니다.
🇺🇸 원문 (English)
Unknown vulnerability in the Virtual File System (VFS) capability for phpGroupWare 0.9.16preRC and versions before 0.9.14.004 with unknown implications, related to the VFS path being under the web document root.
📍 영향받는 시스템
phpGroupWare 0.9.16preRC 및 0.9.14.004 이전 버전 모두
⚔️ 공격 벡터
HTTP 경로 조작을 통한 직접 파일 접근 (Path Traversal / Unrestricted File Access)
🛡️ 대응 방법
phpGroupWare를 0.9.14.004 이상 또는 최신 패치 버전으로 즉시 업그레이드하고 VFS 디렉토리를 웹 document root 외부로 이동
🔧 검증 코드
phpGroupWare 설치 경로를 확인하여 존재 여부를 검증하고 버전 파일(version.php 또는 setup.php)에서 버전 정보를 확인합니다.
find / -name 'phpgroupware' -o -name 'phpgw*' 2>/dev/null | head -5