🇰🇷 한글 설명
MiniBILL 1.2.3 이하의 include/menu_builder.php에 존재하는 PHP 원격 파일 포함(RFI) 취약점입니다. register_globals가 활성화된 경우, config[page_dir] 파라미터를 통해 원격 공격자가 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
웹 서버 설정에 따라 인터넷 어디서나 PHP 코드를 실행하도록 강제할 수 있는 문제입니다. 공격자는 악의적인 파일의 주소를 입력하기만 하면 됩니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in include/menu_builder.php in MiniBILL 2006-10-10 (1.2.3) and earlier, when register_globals is enabled, allows remote attackers to execute arbitrary PHP code via a URL in the config[page_dir] parameter, a different vector than CVE-2006-4489.
📍 영향받는 시스템
MiniBILL 1.2.3 이하 (PHP register_globals 활성화 환경)
⚔️ 공격 벡터
GET/POST 요청의 config[page_dir] 파라미터에 원격 파일 URL 삽입
🛡️ 대응 방법
MiniBILL 업그레이드, PHP register_globals 비활성화, allow_url_include=Off 설정
🔧 검증 코드
VULNERABLE이 출력되면 해당 시스템이 이 취약점에 영향을 받을 수 있으며, SAFE가 출력되면 PHP 설정이 안전합니다.
php -r "echo (ini_get('register_globals') || ini_get('allow_url_include')) ? 'VULNERABLE' : 'SAFE';" 2>/dev/null