🇰🇷 한글 설명
Jetbox CMS 2.1 SR1의 index.php에서 발생하는 동적 변수 평가 취약점으로, 원격 공격자가 URL 매개변수를 통해 PHP 변수 변수를 이용해 설정 변수를 덮어쓸 수 있다. 이를 통해 시스템 설정 변조, 인증 우회, 권한 상승 등이 가능하다.
💡 쉬운 설명
공격자가 웹 주소 뒤에 코드를 붙여서 서버의 설정을 임의로 변경할 수 있는 문제입니다. 이를 악용하면 웹사이트 기능을 제어하거나 민감한 데이터에 접근할 수 있습니다.
🇺🇸 원문 (English)
Dynamic variable evaluation vulnerability in index.php in Jetbox CMS 2.1 SR1 allows remote attackers to overwrite configuration variables via URL parameters, which are evaluated as PHP variable variables.
📍 영향받는 시스템
Jetbox CMS 2.1 SR1 및 그 이전 버전
⚔️ 공격 벡터
HTTP GET/POST 파라미터 조작을 통한 인증 불필요 원격 공격
🛡️ 대응 방법
최신 버전 업그레이드 또는 input validation 강화, variable variables 사용 금지
🔧 검증 코드
설치 경로가 반환되고 버전 문자열에 '2.1 SR1'이 포함되면 취약한 버전 확인
find /var/www -name 'index.php' -exec grep -l 'Jetbox' {} \; 2>/dev/null | head -1 && grep -r '2\.1.*SR1' /var/www 2>/dev/null