🇰🇷 한글 설명
PHP Generator of Object SQL Database (PGOSD)의 misc/function.php3 파일에서 register_globals 활성화 시 path 파라미터를 통한 원격 파일 포함 취약점입니다. 이를 통해 공격자가 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
PGOSD라는 PHP 프로그램이 외부에서 입력받은 파일 경로를 검증하지 않아 악의적인 파일을 실행하도록 할 수 있는 버그입니다. 로컬 또는 원격 서버의 임의 코드를 실행할 수 있게 됩니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in misc/function.php3 in PHP Generator of Object SQL Database (PGOSD), when register_globals is enabled, allows remote attackers to execute arbitrary PHP code via a URL in the path parameter.
📍 영향받는 시스템
PGOSD (PHP Generator of Object SQL Database) - misc/function.php3 파일이 포함된 모든 버전, register_globals 활성화 필수
⚔️ 공격 벡터
HTTP GET/POST 요청에서 path 파라미터에 원격 PHP 파일 URL을 삽입하여 원격 코드 실행 (RCI)
🛡️ 대응 방법
register_globals를 비활성화하거나 PGOSD를 최신 패치 버전으로 업데이트하고 입력값 검증 강화
🔧 검증 코드
VULNERABLE 출력 시 register_globals가 활성화된 상태이며 해당 취약점에 노출될 수 있습니다.
php -r 'echo ini_get("register_globals") ? "VULNERABLE" : "SAFE";'