🇰🇷 한글 설명
Ultimate PHP Board (UPB) 1.9.6 및 이전 버전에서 정적 코드 주입 취약점이 발견되었습니다. 인증된 관리자가 특정 설정 파일의 필드에 임의의 PHP 코드를 삽입하여 실행할 수 있으며, 이는 다른 취약점과 결합되어 원격 공격에 이용될 수 있습니다.
💡 쉬운 설명
관리자 설정 창에 일반 텍스트 대신 컴퓨터 명령어를 입력해 서버를 마음대로 조종할 수 있는 취약점입니다. 권한이 있는 사용자가 악의적인 코드를 심어 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
Direct static code injection vulnerability in Ultimate PHP Board (UPB) 1.9.6 and earlier allows remote authenticated administrators to execute arbitrary PHP code via multiple unspecified "configuration fields" in (1) admin_chatconfig.php, (2) admin_configcss.php, (3) admin_config.php, or (4) admin_config2.php, which are stored as configuration settings. NOTE: this issue can be exploited by remote attackers by leveraging other vulnerabilities in UPB.
📍 영향받는 시스템
Ultimate PHP Board (UPB) 1.9.6 및 이전 버전
⚔️ 공격 벡터
관리자 페이지의 설정 필드(admin_config.php 등)를 통한 PHP 코드 주입
🛡️ 대응 방법
최신 버전으로 업데이트하거나, 설정 입력값에 대한 엄격한 필터링 및 검증 로직을 적용하십시오.
🔧 검증 코드
결과 값에 UPB 1.9.6 이하 버전 문자열이 검색되면 해당 취약점에 노출되었을 가능성이 큽니다.
grep -r "UPB" /var/www/html/ | grep -E '1\.[0-9]\.[0-6]'