🇰🇷 한글 설명
SugarCRM Sugar Sales 2.0.1c 및 이전 버전에서 발생하는 취약점입니다. 공격자가 phprint.php와 같은 특정 스크립트에 잘못된 입력값이나 빈 파라미터를 전송하면, 에러 메시지를 통해 서버의 내부 파일 경로가 노출되어 민감한 정보가 유출될 수 있습니다.
💡 쉬운 설명
웹사이트에 일부러 잘못된 요청을 보냈을 때, 서버가 친절하게 내부 폴더 경로를 알려주는 문제입니다. 공격자는 이 경로 정보를 이용해 서버의 구조를 파악하고 더 큰 공격을 준비할 수 있습니다.
🇺🇸 원문 (English)
SugarCRM Sugar Sales 2.0.1c and earlier allows remote attackers to gain sensitive information via certain requests to scripts that contain invalid input, which reveals the path in an error message, as demonstrated using phprint.php with an empty module parameter.
📍 영향받는 시스템
SugarCRM Sugar Sales 2.0.1c 및 이전 버전
⚔️ 공격 벡터
phprint.php 스크립트에 빈 module 파라미터를 포함한 HTTP 요청 전송
🛡️ 대응 방법
최신 버전으로 업데이트하거나, PHP 설정(php.ini)에서 display_errors를 Off로 설정하여 에러 메시지 노출을 차단하십시오.
🔧 검증 코드
출력 결과에 2.0.0 또는 2.0.1 버전 정보가 포함되어 있다면 취약한 버전일 가능성이 높습니다.
grep -r "Sugar Sales" /var/www/html/sugarcrm | grep -E '2.0.0|2.0.1'