🇰🇷 한글 설명
Plogger의 세션 고정(Session Fixation) 취약점으로, 공격자가 PHPSESSID 파라미터를 조작하여 피해자의 웹 세션을 탈취할 수 있습니다. 이를 통해 인증된 사용자의 권한으로 악의적인 작업을 수행할 수 있습니다.
💡 쉬운 설명
공격자가 사용자의 세션 ID를 미리 설정하고, 피해자를 그 세션으로 로그인하도록 유도하여 계정을 탈취합니다. 피해자의 로그인 후 공격자가 그 세션을 이용해 마치 본인인 것처럼 행동할 수 있습니다.
🇺🇸 원문 (English)
Session fixation vulnerability in Plogger allows remote attackers to hijack web sessions by setting the PHPSESSID parameter.
📍 영향받는 시스템
Plogger 0.2.5 이전 버전
⚔️ 공격 벡터
쿼리 파라미터(PHPSESSID)를 조작하여 세션 ID를 고정시킨 후 피해자가 로그인하도록 유도
🛡️ 대응 방법
Plogger를 최신 버전으로 업그레이드하고 세션 관리 로직을 개선하여 사용자 입력 기반의 세션 ID 설정을 방지
🔧 검증 코드
설치된 Plogger의 버전을 확인하여 0.2.5 이전 버전이면 취약하며, 그 이상 버전이면 패치됨
find / -name 'plogger*' -o -name '*plogger*' 2>/dev/null | grep -i version