🇰🇷 한글 설명
phpBB용 Attachment Mod 2.3.10 모듈이 Apache mod_mime과 함께 사용될 때 .php.rar 같은 다중 확장자 파일을 제대로 처리하지 못합니다. 이로 인해 원격 공격자가 임의의 코드를 업로드하고 서버에서 실행할 수 있습니다.
💡 쉬운 설명
phpBB 포럼의 파일 업로드 기능에서 photo.php.rar 같이 여러 확장자를 가진 파일이 악용되어 실행 가능한 PHP 코드가 서버에 저장될 수 있습니다. 이를 통해 공격자가 서버 전체를 장악할 수 있습니다.
🇺🇸 원문 (English)
Attachment Mod 2.3.10 module for phpBB, when used with Apache mod_mime, does not properly handle files with multiple file extensions, such as .php.rar, which allows remote attackers to upload and execute arbitrary code.
📍 영향받는 시스템
phpBB with Attachment Mod 2.3.10 and earlier (Apache mod_mime enabled)
⚔️ 공격 벡터
다중 확장자 파일(.php.rar 등)을 업로드하여 서버가 PHP 확장자를 인식하도록 속이기
🛡️ 대응 방법
Attachment Mod를 최신 버전으로 업그레이드하거나 Apache mod_mime 설정 제한
🔧 검증 코드
결과가 반환되면 phpBB Attachment Mod 설치 확인; 버전 정보는 해당 파일 헤더 주석에서 확인 가능
find /var/www -type f -name '*.php' -path '*attachment*' 2>/dev/null | head -3