🇰🇷 한글 설명
Sugar Suite Open Source (SugarCRM) 4.2 및 이전 버전에서 register_globals 설정이 활성화된 경우, $_GLOBALS 및 $_SESSION과 같은 중요한 변수가 보호되지 않습니다. 이로 인해 공격자가 GLOBALS[sugarEntry] 매개변수를 조작하여 디렉토리 트래버스나 PHP 원격 파일 포함(RFI) 공격을 수행할 수 있습니다.
💡 쉬운 설명
웹 서버의 설정 오류로 인해 외부 사용자가 서버 내부의 중요한 설정값을 마음대로 바꿀 수 있는 취약점입니다. 이를 통해 해커가 서버의 비밀 파일을 읽거나 악성 프로그램을 실행할 수 있습니다.
🇺🇸 원문 (English)
Sugar Suite Open Source (SugarCRM) 4.2 and earlier, when register_globals is enabled, does not protect critical variables such as $_GLOBALS and $_SESSION from modification, which allows remote attackers to conduct attacks such as directory traversal or PHP remote file inclusion, as demonstrated by modifying the GLOBALS[sugarEntry] parameter.
📍 영향받는 시스템
Sugar Suite Open Source (SugarCRM) 4.2 및 이전 버전
⚔️ 공격 벡터
HTTP 요청 파라미터를 이용한 PHP 전역 변수 조작
🛡️ 대응 방법
php.ini 설정에서 register_globals를 Off로 설정하고 소프트웨어를 최신 버전으로 업데이트하십시오.
🔧 검증 코드
결과에 'register_globals => On'이 포함되어 있으면 취약한 상태이며, Off이면 안전합니다.
php -i | grep 'register_globals'