🇰🇷 한글 설명
InoutMailingListManager 3.1 이하 버전에서 원격 공격자가 임의의 관리자 쿠키를 설정하여 제한된 관리 기능에 접근할 수 있습니다. 이를 통해 악의적인 PHP 코드를 업로드하고 실행하여 서버를 완전히 제어할 수 있습니다.
💡 쉬운 설명
메일링 리스트 관리 소프트웨어에서 가짜 쿠키로 관리자인척 로그인할 수 있습니다. 그 다음 악성 파일을 업로드하여 서버의 모든 데이터를 빼앗거나 파괴할 수 있습니다.
🇺🇸 원문 (English)
InoutMailingListManager 3.1 and earlier allows remote attackers to access certain restricted functionality, and upload and execute arbitrary PHP code, by setting an arbitrary admin cookie.
📍 영향받는 시스템
InoutMailingListManager 3.1 이하 모든 버전
⚔️ 공격 벡터
HTTP 요청에 위조된 관리자 쿠키를 삽입하여 인증 우회 후 파일 업로드 기능 악용
🛡️ 대응 방법
InoutMailingListManager를 3.2 이상으로 업그레이드하거나 공식 보안 패치 적용
🔧 검증 코드
설치된 InoutMailingListManager의 버전 번호가 3.1 이하면 취약함. 해당 패키지가 없으면 안전.
dpkg -l 2>/dev/null | grep -i inout || find /var/www -name '*InoutMailingListManager*' -type f 2>/dev/null | head -5