🇰🇷 한글 설명
phpBB 2.0.19의 includes/usercp_register.php 파일에서 phpbb_root_path 매개변수를 통해 원격 파일을 포함시킬 수 있는 PHP RFI(Remote File Inclusion) 취약점입니다. 이를 통해 공격자가 임의의 PHP 코드를 실행할 수 있습니다. 다만 파일이 전역 상수 확인 메커니즘을 갖추고 있어 직접 접근이 불가능하다는 주장으로 인해 실제 악용 가능성은 논쟁의 여지가 있습니다.
💡 쉬운 설명
phpBB 웹사이트 관리 프로그램 버전 2.0.19에서 공격자가 악성 PHP 코드를 원격으로 실행할 수 있는 보안 결함이 있습니다. 다만 이 취약점이 실제로 악용 가능한지는 전문가들 사이에 논쟁이 있습니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in includes/usercp_register.php in phpBB 2.0.19 allows remote attackers to execute arbitrary PHP code via a URL in the phpbb_root_path parameter. NOTE: this issue has been disputed by third-party researchers, stating that the file checks for a global constant and cannot be accessed directly
📍 영향받는 시스템
phpBB 2.0.19 및 그 이전 버전
⚔️ 공격 벡터
공격자가 phpbb_root_path 매개변수에 외부 URL을 삽입하여 원격 PHP 파일을 포함시키고 실행
🛡️ 대응 방법
phpBB를 2.0.20 이상의 최신 보안 패치가 적용된 버전으로 업그레이드
🔧 검증 코드
phpBB 설치 경로에서 취약한 usercp_register.php 파일의 매개변수 처리 방식을 확인하여 RFI 취약점 존재 여부 판단
grep -r 'phpbb_root_path' /var/www/html 2>/dev/null | grep -E 'usercp_register' | head -1