🇰🇷 한글 설명
Advanced Guestbook 2.4.2의 PHP 원격 파일 포함(RFI) 취약점으로, index.php, addentry.php, picture.php의 include_path 파라미터 검증 부재로 인해 공격자가 원격에서 임의의 PHP 코드를 실행할 수 있습니다. 다만 제3자 연구자들이 include_path가 사용 전에 초기화된다며 실제 취약성에 대해 이의를 제기했습니다.
💡 쉬운 설명
Advanced Guestbook 프로그램이 외부에서 들어오는 파일 경로를 제대로 확인하지 않아, 악의적인 사람이 자신의 악성 코드를 웹사이트에서 실행하게 할 수 있는 문제입니다. 다만 실제로 보안 문제인지는 전문가들 사이에 의견이 갈립니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in Advanced Guestbook 2.4.2 allow remote attackers to execute arbitrary PHP code via a URL in the include_path parameter to (1) index.php, (2) addentry.php, or (3) picture.php, a different set of vectors than CVE-2006-5804. NOTE: this issue has been disputed by third party researchers, stating that the include_path variable is instantiated before use
📍 영향받는 시스템
Advanced Guestbook 2.4.2
⚔️ 공격 벡터
include_path 파라미터를 통한 원격 PHP 파일 포함 (RFI)
🛡️ 대응 방법
Advanced Guestbook을 최신 버전으로 업데이트하거나, include_path 입력값 검증 로직 추가
🔧 검증 코드
결과에서 사용자 입력($GET, $POST)이 검증 없이 include에 직접 사용되면 취약점 확인, 사용되지 않으면 안전함
grep -n 'include_path' index.php addentry.php picture.php 2>/dev/null | grep -E '\$_(GET|POST|REQUEST)'