🇰🇷 한글 설명
HiveMail 1.3 이하 버전의 여러 PHP 파일에서 eval injection 취약점이 발견되었습니다. contactgroupid, messageid, folderid 등의 파라미터를 통해 공격자가 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
HiveMail이라는 이메일 프로그램에 위험한 구멍이 있어서, 해커가 특수한 문자를 보내면 서버에서 임의의 프로그램을 실행할 수 있습니다. 이를 통해 서버 전체를 제어당할 수 있습니다.
🇺🇸 원문 (English)
Multiple eval injection vulnerabilities in HiveMail 1.3 and earlier allow remote attackers to execute arbitrary PHP code via (1) the contactgroupid parameter in addressbook.update.php, (2) the messageid parameter in addressbook.add.php, (3) the folderid parameter in folders.update.php, and possibly certain parameters in (4) calendar.event.php, (5) index.php, (6) pop.download.php, (7) read.bounce.php, (8) rules.block.php, (9) language.php, and (10) certain other scripts, as demonstrated by an addressbook.update.php request with a contactgroupid value of phpinfo() preceded by facilitators.
📍 영향받는 시스템
HiveMail 1.3 이하 모든 버전
⚔️ 공격 벡터
HTTP GET/POST 요청의 contactgroupid, messageid, folderid, calendar.event.php, index.php, pop.download.php 등 파라미터에 PHP 코드 삽입
🛡️ 대응 방법
HiveMail을 1.3 이후 최신 버전으로 업그레이드 또는 패치 적용
🔧 검증 코드
addressbook.update.php 파일이 발견되고 eval 함수 사용이 확인되면 취약한 버전입니다.
find / -name 'addressbook.update.php' 2>/dev/null | xargs grep -l 'eval' 2>/dev/null