🇰🇷 한글 설명
JFFNMS 0.8.3에서 admin/adm/test.php 파일이 적절한 접근 제어 없이 phpinfo() 함수를 노출하여 공격자가 서버의 PHP 설정, 확장 모듈, 환경 변수 등 민감한 시스템 정보를 획득할 수 있는 정보 노출 취약점입니다. 이는 추가 공격의 준비 단계로 활용될 수 있습니다.
💡 쉬운 설명
관리자 페이지에 숨겨진 파일이 있어서, 누구나 직접 접속하면 서버의 모든 설정 정보를 볼 수 있습니다. 이 정보를 이용해 다른 보안 공격을 준비할 수 있습니다.
🇺🇸 원문 (English)
Just For Fun Network Management System (JFFNMS) 0.8.3 allows remote attackers to obtain configuration information via a direct request to admin/adm/test.php, which calls the phpinfo function.
📍 영향받는 시스템
JFFNMS (Just For Fun Network Management System) 버전 0.8.3 이하
⚔️ 공격 벡터
HTTP를 통해 admin/adm/test.php에 직접 접속하여 phpinfo() 출력 결과로부터 시스템 정보 수집
🛡️ 대응 방법
JFFNMS를 최신 버전으로 업그레이드하고, 관리 페이지에 강력한 인증 및 접근 제어를 적용하며, 불필요한 테스트 파일은 제거하세요.
🔧 검증 코드
PHP 버전 정보가 반환되면 취약점이 존재하며, HTTP 403/404 오류가 반환되면 접근 제어가 적용된 상태입니다.
curl -s http://target/admin/adm/test.php | grep -i 'php version' | head -1