🇰🇷 한글 설명
Sean Proctor의 PHP-Calendar 0.10.1 이전 버전에서 phpc_root_path 매개변수를 통한 원격 파일 포함(RFI) 취약점이 존재합니다. 공격자가 악의적인 파일 경로를 주입하면 서버에서 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
웹 애플리케이션에서 사용자 입력을 제대로 검증하지 않아 공격자가 다른 서버의 파일을 로드하도록 조작할 수 있습니다. 이를 통해 서버에서 악성 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in Sean Proctor PHP-Calendar before 0.10.1, as used in Commonwealth of Massachusetts Virtual Law Office (VLO) and other products, allow remote attackers to execute arbitrary PHP code via a URL in the phpc_root_path parameter to (1) includes/calendar.php or (2) includes/setup.php.
📍 영향받는 시스템
PHP-Calendar < 0.10.1, Massachusetts VLO 및 기타 배포판
⚔️ 공격 벡터
includes/calendar.php, includes/setup.php의 phpc_root_path 파라미터에 원격 파일 URL 주입
🛡️ 대응 방법
PHP-Calendar를 0.10.1 이상으로 업그레이드하고 input 검증 강화
🔧 검증 코드
calendar.php나 setup.php 파일의 버전 정보에서 0.10.1 미만이면 취약함, 0.10.1 이상이면 패칭됨
find /var/www -type f -name '*.php' | xargs grep -l 'phpc_root_path' 2>/dev/null | head -1 | xargs grep -o 'version.*' | head -1