🇰🇷 한글 설명
onelook obo Shop의 세션 고정(Session Fixation) 취약점으로, 공격자가 PHPSESSID 쿠키를 조작하여 사용자의 웹 세션을 탈취할 수 있습니다. 이를 통해 무단 접근, 계정 탈취, 악성 활동 수행이 가능합니다.
💡 쉬운 설명
웹사이트의 로그인 정보를 저장하는 쿠키를 공격자가 임의로 설정하여 사용자 계정에 무단 접근할 수 있는 문제입니다. 마치 남이 만든 열쇠로 당신의 집에 들어오는 것과 같습니다.
🇺🇸 원문 (English)
Session fixation vulnerability in onelook obo Shop allows remote attackers to hijack web sessions by setting a PHPSESSID cookie.
📍 영향받는 시스템
onelook obo Shop (모든 버전)
⚔️ 공격 벡터
공격자가 PHPSESSID 쿠키 값을 설정한 링크를 사용자에게 제공하면, 사용자가 해당 세션으로 로그인할 때 세션 탈취 가능
🛡️ 대응 방법
onelook obo Shop을 최신 버전으로 업그레이드하고, PHP 세션 처리 개선(쿠키 재생성, HttpOnly 플래그 설정)을 구현하며, HTTPS 사용
🔧 검증 코드
onelook obo Shop 설치 경로에서 PHPSESSID 사용 파일들을 찾아 취약한 세션 처리 코드가 있는지 수동 검토 필요
find /var/www -name '*.php' -type f | xargs grep -l 'PHPSESSID' | head -5