🇰🇷 한글 설명
phpGroupWare 0.9.16.003 및 이전 버전에서 발견된 다중 SQL 주입 취약점으로, 공격자가 index.php의 order, project_id, pro_main, hours_id 파라미터 또는 viewticket_details.php의 ticket_id 파라미터를 통해 임의의 SQL 문을 실행할 수 있습니다.
💡 쉬운 설명
phpGroupWare 소프트웨어에서 공격자가 특수한 입력값을 통해 데이터베이스에 직접 명령을 내릴 수 있습니다. 이를 악용하면 민감한 사용자 정보 도용이나 데이터 변조가 가능합니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in phpGroupWare 0.9.16.003 and earlier allow remote attackers to execute arbitrary SQL statements via the (1) order, (2) project_id, (3) pro_main, or (4) hours_id parameters to index.php or (5) ticket_id to viewticket_details.php.
📍 영향받는 시스템
phpGroupWare 0.9.16.003 이전의 모든 버전
⚔️ 공격 벡터
웹 인터페이스의 파라미터(order, project_id, hours_id, ticket_id 등)에 SQL 구문을 삽입하여 데이터베이스 직접 조작
🛡️ 대응 방법
phpGroupWare를 최신 패치 버전으로 즉시 업그레이드하고, 모든 사용자 입력에 대한 검증 및 매개변수화된 쿼리 사용
🔧 검증 코드
설치된 phpGroupWare 버전이 0.9.16.004 이상이면 패치됨. 0.9.16.003 이하면 긴급 업그레이드 필요.
dpkg -l phpgroupware 2>/dev/null | grep -i version || rpm -q phpgroupware