🇰🇷 한글 설명
phpFFL 1.24의 원격 파일 포함(RFI) 취약점으로, PHPFFL_FILE_ROOT 파라미터를 통해 악의적인 URL을 전달하면 원격에서 PHP 파일을 포함시킬 수 있습니다. 이를 통해 공격자가 임의의 PHP 코드를 실행하여 웹 서버를 완전히 제어할 수 있는 심각한 취약점입니다.
💡 쉬운 설명
phpFFL 웹 프로그램의 파일 경로를 받는 부분에 인터넷의 다른 주소를 넣으면, 악의적인 파일을 실행할 수 있는 문제입니다. 공격자가 원격으로 웹 서버를 조종하거나 데이터를 탈취할 수 있습니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in phpFFL 1.24 allow remote attackers to execute arbitrary PHP code via a URL in the PHPFFL_FILE_ROOT parameter to (1) admin.php, (2) custom_pages.php, (3) draft.php, (4) faq.php, (5) leagues.php, (6) livedraft.php, (7) login.php, (8) my_team.php, (9) profile.php, (10) signup.php, (11) statistics.php, (12) transactions.php, (13) program_files/admin/custom_pages.php, or (14) program_files/common.php. NOTE: the program_files/livedraft/admin.php and program_files/livedraft/livedraft.php vectors are covered by CVE-2007-4934.
📍 영향받는 시스템
phpFFL 1.24 이하 버전 (admin.php, custom_pages.php, draft.php, faq.php 등 14개 파일 및 경로)
⚔️ 공격 벡터
PHPFFL_FILE_ROOT 파라미터에 악의적인 URL 삽입 후 GET/POST 요청으로 원격 PHP 파일 포함 실행
🛡️ 대응 방법
phpFFL을 최신 버전으로 즉시 업그레이드하거나, 모든 파일 포함 함수 입력값에 대한 엄격한 유효성 검사 및 화이트리스트 필터링 적용
🔧 검증 코드
파일이 발견되면 설치 디렉토리의 README 또는 CHANGELOG에서 버전 확인; 1.24 이하면 즉시 패치 필요
find / -path "*/phpffl*" -name "admin.php" 2>/dev/null | head -1 && echo "phpFFL installation found - check version" || echo "Not detected"