🇰🇷 한글 설명
Openads/phpAdsNew 2.0.7의 여러 PHP 원격 파일 포함(RFI) 취약점으로, 공격자가 phpAds_geoPlugin, filename, phpAds_config[my_footer] 매개변수를 통해 악의적인 파일을 원격에서 포함시켜 서버에서 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
광고 관리 소프트웨어가 사용자 입력으로 전달된 파일 경로를 제대로 검증하지 않습니다. 공격자는 악성 PHP 코드가 있는 원격 파일의 URL을 보내서 서버가 그 파일을 실행하도록 할 수 있습니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in Openads (aka phpAdsNew) 2.0.7 allow remote attackers to execute arbitrary PHP code via a URL in the (1) phpAds_geoPlugin parameter to libraries/lib-remotehost.inc, the (2) filename parameter to admin/report-index, or the (3) phpAds_config[my_footer] parameter to admin/lib-gui.inc. NOTE: the vendor has disputed this issue, stating that the relevant variables are used within function definitions
📍 영향받는 시스템
Openads/phpAdsNew 2.0.7 이하 버전
⚔️ 공격 벡터
HTTP 요청으로 취약한 매개변수에 원격 파일 URL을 주입하여 PHP 코드 실행
🛡️ 대응 방법
최신 보안 패치가 적용된 버전으로 업그레이드, PHP ini 설정에서 allow_url_include 비활성화, 입력 검증 강화
🔧 검증 코드
2.0.7 이하 버전이 출력되면 취약합니다. 버전 정보 없음이면 제거됨 또는 패치됨 상태입니다.
grep -r 'phpAdsNew\|Openads' /var/www/*/version.php 2>/dev/null | grep -oE '2\.0\.[0-7]'