🇰🇷 한글 설명
eXV2 CMS 2.0.4.3 이전 버전에 존재하는 세션 고정(Session Fixation) 취약점으로, 원격 공격자가 PHPSESSID 쿠키를 조작하여 사용자의 웹 세션을 탈취할 수 있습니다. 공격자는 미리 설정한 세션 ID로 피해자를 유도하여 해당 세션의 권한을 획득합니다.
💡 쉬운 설명
웹사이트의 로그인 상태를 저장하는 쿠키(PHPSESSID)를 공격자가 미리 정해진 값으로 설정할 수 있는 보안 결함입니다. 피해자가 그 값으로 로그인하면 공격자도 같은 계정으로 접근할 수 있게 됩니다.
🇺🇸 원문 (English)
Session fixation vulnerability in eXV2 CMS 2.0.4.3 and earlier allows remote attackers to hijack web sessions by setting the PHPSESSID cookie.
📍 영향받는 시스템
eXV2 CMS 2.0.4.3 이전 모든 버전
⚔️ 공격 벡터
PHPSESSID 쿠키 사전 설정을 통한 세션 고정 공격
🛡️ 대응 방법
eXV2 CMS를 2.0.4.4 이상으로 업데이트하고 세션 재생성 및 HttpOnly/Secure 쿠키 설정 적용
🔧 검증 코드
경로가 출력되면 eXV2 CMS가 설치된 상태이므로 버전 확인 필요; 아무것도 출력되지 않으면 표준 경로에 설치되지 않았거나 제거됨
find /var/www/html -type d -name '*exv2*' 2>/dev/null | head -1