🇰🇷 한글 설명
Cpanel의 Fantastico가 파일 작업 권한 부족 시 적절하게 처리하지 못하여, PHP 에러 메시지를 통해 시스템의 전체 경로명이 노출됩니다. 인증된 원격 사용자가 이 취약점을 악용하여 서버의 디렉토리 구조 정보를 수집할 수 있습니다.
💡 쉬운 설명
Cpanel의 자동설치 도구(Fantastico)가 권한 문제 시 상세한 에러 메시지를 표시하여 공격자가 서버의 파일 위치를 알아낼 수 있습니다. 이는 추가 공격을 준비하는 데 도움이 될 수 있습니다.
🇺🇸 원문 (English)
fantastico in Cpanel does not properly handle when it has insufficient permissions to perform certain file operations, which allows remote authenticated users to obtain the full pathname, which is leaked in a PHP error message.
📍 영향받는 시스템
Cpanel with Fantastico (모든 버전, 2006년 이전)
⚔️ 공격 벡터
인증된 사용자가 Fantastico를 통해 권한 없는 파일 작업을 시도하여 PHP 에러 메시지에서 경로정보 추출
🛡️ 대응 방법
Cpanel 및 Fantastico를 최신 버전으로 업데이트하고 PHP 에러 메시지 상세정보 노출 설정 비활성화
🔧 검증 코드
Cpanel 버전이 표시되면 설치 여부 확인 가능하며, 2006년 이후 패치가 적용된 버전인지 확인 필요
cat /usr/local/cpanel/version 2>/dev/null || rpm -qa cpanel 2>/dev/null