🇰🇷 한글 설명
Local Calendar System 1.1의 여러 PHP 파일에서 원격 파일 포함(RFI) 취약점이 발견되었습니다. TEMPLATE_DIR과 LIBDIR 파라미터를 통해 공격자가 임의의 원격 파일을 포함시켜 PHP 코드를 실행할 수 있습니다. 다만 config.php에서 변수를 미리 설정하면 완화될 수 있다는 의견도 있습니다.
💡 쉬운 설명
오래된 달력 관리 프로그램에서 공격자가 외부 악성 파일을 로드하게 할 수 있는 보안 결함입니다. 이를 통해 서버에서 자신의 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in local Calendar System 1.1 allow remote attackers to execute arbitrary PHP code via a URL in the (1) TEMPLATE_DIR parameter to (a) showinvoices.php, (b) showmonth.php, (c) showevents.php, (d) retrieveinvoice.php, (e) modifyitem.php, and (f) lookup_userid.php; or the LIBDIR parameter to (g) editevent.php, (h) resetpassword.php, (i) signup.php, showmonth.php, (j) showday.php, showevents.php, and lookup_userid.php. NOTE: this issue has been disputed by a third party, who states that the associated variables are set in config.php before use
📍 영향받는 시스템
Local Calendar System 1.1 이하 버전
⚔️ 공격 벡터
URL 파라미터(TEMPLATE_DIR, LIBDIR)에 악성 PHP 파일 경로를 주입하여 원격 코드 실행
🛡️ 대응 방법
1.1 이후 버전으로 업그레이드 또는 config.php에서 디렉토리 경로를 하드코딩하여 고정
🔧 검증 코드
해당 달력 시스템 파일이 시스템에 설치되어 있는지 확인합니다. 파일이 발견되면 설치된 버전을 확인하여 1.1 이하인지 검증하세요.
find /var/www -name '*calendar*' -o -name 'showinvoices.php' -o -name 'showmonth.php' 2>/dev/null | head -5