🇰🇷 한글 설명
VHCS 2.4.7.1 이하 버전의 세션 고정화 취약점으로, 공격자가 PHPSESSID 파라미터를 조작하여 사용자의 웹 세션을 탈취할 수 있습니다. 이를 통해 피해자의 인증된 세션을 하이재킹하여 권한 도용 공격이 가능합니다.
💡 쉬운 설명
공격자가 당신의 로그인 세션 ID를 강제로 자신의 값으로 설정하여 당신이 로그인하면 공격자도 함께 그 세션을 사용할 수 있습니다. 이를 통해 당신의 계정에 접근하여 개인정보를 탈취하거나 악의적인 행동을 수행할 수 있습니다.
🇺🇸 원문 (English)
Session fixation vulnerability in Virtual Hosting Control System (VHCS) 2.4.7.1 and earlier allows remote attackers to hijack web sessions by setting the PHPSESSID parameter.
📍 영향받는 시스템
Virtual Hosting Control System (VHCS) 2.4.7.1 이하 모든 버전
⚔️ 공격 벡터
PHPSESSID 쿠키 또는 URL 파라미터를 조작하여 피해자가 공격자가 미리 설정한 세션 ID로 로그인하도록 강제
🛡️ 대응 방법
VHCS를 2.4.7.2 이상으로 업그레이드하거나 PHP session.auto_start 비활성화 및 session_regenerate_id() 함수 사용
🔧 검증 코드
VHCS 패키지 버전이 2.4.7.1 이하로 표시되면 취약점 존재, 2.4.7.2 이상이거나 패키지가 없으면 안전
dpkg -l 2>/dev/null | grep vhcs || rpm -qa 2>/dev/null | grep -i vhcs