🇰🇷 한글 설명
Calimero.CMS 3.3.1232 이하 버전에서 PHPSESSID 파라미터를 조작하여 세션을 고정시키고 다른 사용자의 세션을 하이재킹할 수 있는 취약점입니다. 공격자는 피해자의 세션 ID를 미리 설정한 후 사용자가 로그인하도록 유도하여 권한 있는 계정에 접근할 수 있습니다.
💡 쉬운 설명
웹사이트의 로그인 확인 시스템(PHPSESSID)을 공격자가 임의로 설정할 수 있는 문제입니다. 공격자가 특정 세션 ID로 미리 설정한 후 사용자가 접속하면, 그 사용자의 계정으로 로그인되어 정보 탈취나 계정 탈취가 가능합니다.
🇺🇸 원문 (English)
Session fixation vulnerability in Calimero.CMS 3.3.1232 and earlier allows remote attackers to hijack web sessions by setting the PHPSESSID parameter.
📍 영향받는 시스템
Calimero.CMS 버전 3.3.1232 이하
⚔️ 공격 벡터
피해자에게 조작된 PHPSESSID를 포함한 링크를 제공하여 세션을 고정시키고 로그인 후 세션 탈취
🛡️ 대응 방법
Calimero.CMS를 최신 버전으로 업그레이드 또는 공식 패치 적용, 동시에 session.use_strict_mode 활성화 권장
🔧 검증 코드
설치된 Calimero CMS의 버전이 3.3.1232 이하인지 확인하고, 해당하면 즉시 업그레이드 필요
dpkg -l | grep -i calimero 2>/dev/null || find / -path '*/calimero*' -name 'version*' -o -name 'VERSION*' 2>/dev/null | head -1