🇰🇷 한글 설명
Codewalkers Ltwcalendar 4.1.3의 calendar.php에서 ltw_config[include_dir] 파라미터를 통한 원격 파일 포함(RFI) 취약점으로, 공격자가 악의적인 URL을 입력하여 임의의 PHP 코드 실행 가능. 다만 CVE는 이 주장에 이의를 제기하며, 실제로는 $ltw_config[include_dir]이 include() 실행 전에 정적 값으로 정의되어 있어 취약성이 없을 수 있음.
💡 쉬운 설명
웹사이트 달력 프로그램에서 외부 파일을 불러올 때 악의적인 주소를 입력하면 해커가 서버에 명령을 실행할 수 있는 문제입니다. 하지만 실제 코드 분석 결과 이 취약점은 존재하지 않을 수 있습니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in Ltwcalendar/calendar.php in Codewalkers Ltwcalendar 4.1.3 allows remote attackers to execute arbitrary PHP code via a URL in the ltw_config[include_dir] parameter. NOTE: CVE disputes this claim, since the $ltw_config[include_dir] variable is defined as a static value in an include file before it is referenced in an include() statement
📍 영향받는 시스템
Codewalkers Ltwcalendar 4.1.3 이하 버전 (calendar.php 포함)
⚔️ 공격 벡터
ltw_config[include_dir] 파라미터에 원격 PHP 파일 URL 전달하여 RFI 공격 수행
🛡️ 대응 방법
Ltwcalendar를 최신 버전으로 업그레이드하거나 calendar.php에서 include_dir 파라미터 입력 검증 추가
🔧 검증 코드
Ltwcalendar 설치 경로의 calendar.php 파일이 검색되고 해당 취약 파라미터가 발견되면 설치된 버전 확인 필요
find /var/www -name 'calendar.php' 2>/dev/null | xargs grep -l 'ltw_config\[include_dir\]' 2>/dev/null