🇰🇷 한글 설명
Stadtaus Guestbook Script 1.7 및 이전 버전의 index.php에서 동적 변수 평가 취약점이 발견되었습니다. PHP의 register_globals 설정이 활성화된 경우, 공격자가 파라미터를 통해 임의의 프로그램 변수를 수정하여 원격 파일 포함(RFI) 공격을 수행할 수 있습니다.
💡 쉬운 설명
웹사이트 설정 오류로 인해 외부 사용자가 서버의 내부 변수를 마음대로 조작할 수 있는 문제입니다. 이를 통해 공격자가 외부의 악성 코드를 서버에서 강제로 실행시킬 수 있습니다.
🇺🇸 원문 (English)
Dynamic variable evaluation vulnerability in index.php in Stadtaus Guestbook Script 1.7 and earlier, when register_globals is enabled, allows remote attackers to modify arbitrary program variables via parameters, which are evaluated as PHP variable variables, as demonstrated by performing PHP remote file inclusion using the include_files array parameter.
📍 영향받는 시스템
Stadtaus Guestbook Script 1.7 및 이전 버전
⚔️ 공격 벡터
HTTP 요청 파라미터를 통한 PHP 변수 조작 및 원격 파일 포함(RFI) 공격
🛡️ 대응 방법
PHP 설정(php.ini)에서 register_globals 옵션을 Off로 변경하거나 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과 'register_globals = On' 문구가 출력되면 취약한 설정이 활성화된 상태입니다.
grep "register_globals = On" /etc/php.ini 2>/dev/null