🇰🇷 한글 설명
FrontAccounting 1.12에서 path_to_root 파라미터에 대한 불충분한 검증으로 인한 PHP 원격 파일 포함(RFI) 취약점입니다. 공격자는 여러 PHP 파일들(access/logout.php 및 admin, dimensions, gl, inventory 등의 디렉토리)을 통해 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
회계 관리 소프트웨어인 FrontAccounting에서 특정 설정값을 조작하면 원격의 악의적인 코드가 서버에서 실행될 수 있습니다. 이는 데이터 탈취, 시스템 장악 등 심각한 피해를 초래할 수 있습니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in FrontAccounting (FA) 1.12 allow remote attackers to execute arbitrary PHP code via a URL in the path_to_root parameter to (1) access/logout.php or certain PHP scripts under (2) admin/, (3) dimensions/, (4) gl/, (5) inventory/, (6) manufacturing/, (7) purchasing/, (8) reporting/, (9) sales/, or (10) taxes/. NOTE: the config.php vector is already covered by CVE-2007-4279, and the login.php and language.php vectors are already covered by CVE-2007-5117. NOTE: this issue is disputed by CVE because path_to_root is defined before use in all of the other files reported in the original disclosure
📍 영향받는 시스템
FrontAccounting 1.12 (access/logout.php, admin/, dimensions/, gl/, inventory/, manufacturing/, purchasing/, reporting/, sales/, taxes/ 디렉토리)
⚔️ 공격 벡터
path_to_root 파라미터에 원격 서버의 악의적 PHP 파일 URL을 삽입하여 원격 코드 실행 유도
🛡️ 대응 방법
FrontAccounting을 최신 버전으로 업그레이드하거나 path_to_root 파라미터 입력값 검증 추가
🔧 검증 코드
FrontAccounting 설치 버전 확인. 1.12 버전이면 즉시 최신 버전으로 업그레이드 필요
dpkg -l 2>/dev/null | grep -i frontaccounting || find /var/www -name 'FrontAccounting' -type d 2>/dev/null | head -1