🇰🇷 한글 설명
b2evolution의 PHP 원격 파일 포함(RFI) 취약점으로, inc_path, view_path, control_path, skins_path 파라미터를 통해 악의적인 PHP 코드를 원격 실행할 수 있습니다. 여러 관리 및 접촉 페이지가 영향을 받으며, 설정 파일에서 변수가 사전 초기화되어 논쟁의 여지가 있습니다.
💡 쉬운 설명
b2evolution 블로그 프로그램에 특정 URL 파라미터를 조작하여 공격자가 서버에서 악의적인 코드를 실행하게 할 수 있는 보안 취약점입니다. 공격자는 외부 파일을 포함시켜 임의의 PHP 코드를 실행합니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in b2evolution allow remote attackers to execute arbitrary PHP code via a URL in the (1) inc_path parameter to (a) a_noskin.php, (b) a_stub.php, (c) admin.php, (d) contact.php, (e) default.php, (f) index.php, and (g) multiblogs.php in blogs/; the (2) view_path and (3) control_path parameters to blogs/admin.php; and the (4) skins_path parameter to (h) blogs/contact.php and (i) blogs/multiblogs.php. NOTE: this issue is disputed by CVE, since the inc_path, view_path, control_path, and skins_path variables are all initialized in conf/_advanced.php before they are used
📍 영향받는 시스템
b2evolution 3.3 이전 버전 (정확한 버전 범위는 공식 보안 권고 확인 필요)
⚔️ 공격 벡터
inc_path, view_path, control_path, skins_path 파라미터를 통한 URL 기반 PHP 파일 포함 공격
🛡️ 대응 방법
b2evolution을 최신 패치 버전으로 업데이트하고, 입력 검증 강화 및 파일 경로 화이트리스트 설정 적용
🔧 검증 코드
b2evolution 설치 디렉토리가 발견되면 설치되어 있으며, 버전 정보를 확인하여 3.3 이전 버전인 경우 취약합니다.
find /var/www -name '_advanced.php' -path '*/b2evolution/*' -exec grep -l 'inc_path\|view_path' {} \\; 2>/dev/null | head -1