🇰🇷 한글 설명
LoCal Calendar System 1.1의 lib/lcUser.php에서 LIBDIR 파라미터를 통한 원격 파일 포함(RFI) 취약점으로, 공격자가 외부 서버의 악의적인 PHP 파일을 포함시켜 임의의 코드를 실행할 수 있습니다. 입력 검증 부족으로 인해 발생하는 심각한 취약점입니다.
💡 쉬운 설명
공격자가 특수하게 조작된 URL을 통해 악의적인 코드 파일을 서버에 강제로 실행시킬 수 있습니다. 이는 웹 서버의 모든 권한으로 공격자의 명령을 수행하게 만듭니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in lib/lcUser.php in LoCal Calendar System 1.1 remote attackers to execute arbitrary PHP code via a URL in the LIBDIR parameter.
📍 영향받는 시스템
LoCal Calendar System 1.1 이하
⚔️ 공격 벡터
HTTP 요청의 LIBDIR 파라미터에 원격 PHP 파일 URL을 주입하여 원격 파일 포함 트리거
🛡️ 대응 방법
즉시 패치 또는 최신 버전으로 업그레이드, LIBDIR 파라미터 입력값 필터링, allow_url_include 비활성화
🔧 검증 코드
LoCal Calendar 설치 경로의 lcUser.php에서 LIBDIR을 include/require와 함께 사용하는 부분을 확인하면 취약점 존재 여부 판단 가능
grep -n 'LIBDIR' /path/to/local_calendar/lib/lcUser.php 2>/dev/null | grep -E 'include|require'