🇰🇷 한글 설명
PhpNews 1.0에서 Include 매개변수를 통한 원격 파일 포함(RFI) 취약점으로, 공격자가 외부 PHP 파일을 로드하여 임의의 PHP 코드를 실행할 수 있습니다. Include/lib.inc.php3과 Include/variables.php3 파일에서 입력값을 검증하지 않아 발생합니다.
💡 쉬운 설명
웹사이트가 사용자가 제공한 파일 이름을 검증 없이 로드하는 버그입니다. 공격자는 이를 악용해 자신의 악성 코드를 서버에서 실행시킬 수 있습니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in PhpNews 1.0 allow remote attackers to execute arbitrary PHP code via the Include parameter to (1) Include/lib.inc.php3 and (2) Include/variables.php3.
📍 영향받는 시스템
PhpNews 1.0 및 이전 버전
⚔️ 공격 벡터
HTTP GET/POST 요청을 통해 Include 매개변수에 원격 PHP 파일 URL을 주입하는 방식
🛡️ 대응 방법
PhpNews를 패치된 버전으로 업그레이드하거나, 입력값 검증 및 파일 포함 함수(include/require) 사용을 제한하는 보안 패치 적용
🔧 검증 코드
동적 변수가 include 함수에서 사용되는 경우가 발견되면 취약점 존재 가능성 있음; 결과가 없으면 해당 코드가 수정되었을 가능성 높음
grep -r 'include.*\$_' /var/www/html/phpnews/Include/ 2>/dev/null | head -1