🇰🇷 한글 설명
Brian Fraval Hitweb 3.0에서 REP_CLASS 파라미터를 통한 원격 파일 포함 취약점이 발견되었습니다. 이를 통해 원격 공격자가 12개의 PHP 파일(index.php, arbo.php, framepoint.php 등)에서 임의의 PHP 코드를 실행할 수 있습니다. 다만 일부 연구자들은 REP_CLASS가 사용 전에 포함된 파일에서 초기화되므로 실제 위험도가 낮을 수 있다고 주장하고 있습니다.
💡 쉬운 설명
웹사이트가 외부 파일을 검증 없이 불러와서 실행하는 보안 문제입니다. 공격자가 악의적인 URL을 주입하면 웹사이트가 자동으로 실행하게 되어 서버가 장악될 수 있습니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in Brian Fraval Hitweb 3.0 allow remote attackers to execute arbitrary PHP code via a URL in the REP_CLASS parameter to (1) index.php, (2) arbo.php, (3) framepoint.php, (4) genpage.php, (5) lienvalider.php, (6) appreciation.php, (7) partenariat.php, (8) rechercher.php, (9) projet.php, (10) propoexample.php, (11) refererpoint.php, or (12) top50.php. NOTE: this issue has been disputed by a third party researcher, stating that REP_CLASS is initialized in an included file before being used
⚔️ 공격 벡터
REP_CLASS 파라미터에 악성 PHP 파일의 원격 URL을 삽입하여 해당 파일이 포함되고 실행되도록 유도
🛡️ 대응 방법
Hitweb을 최신 버전으로 업데이트하거나 REP_CLASS 파라미터에 대한 엄격한 입력 검증 및 화이트리스트 구현
🔧 검증 코드
명령어가 경로를 반환하면 Hitweb이 설치된 것으로 확인되며, 설치된 버전과 위치를 파악할 수 있습니다.
find /var/www -name '*.php' -path '*hitweb*' 2>/dev/null | head -1