🇰🇷 한글 설명
phpBasic의 Music 모듈에서 view 작업 시 id 매개변수를 통한 SQL injection 취약점입니다. 공격자가 이 취약점을 악용하여 임의의 SQL 명령을 원격으로 실행할 수 있으며, 데이터베이스의 기밀성과 무결성을 침해할 수 있습니다.
💡 쉬운 설명
phpBasic 음악 기능의 웹 URL에서 특수한 문자들을 입력하면 데이터베이스가 해석해서 실행하는 문제입니다. 공격자가 이를 이용해 데이터베이스의 모든 정보에 접근하거나 수정할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in the Music module in phpBasic allows remote attackers to execute arbitrary SQL commands via the id parameter in a view action to the default URI.
📍 영향받는 시스템
phpBasic Music 모듈 (버전 명시 없음 - 2007년 이전 버전)
⚔️ 공격 벡터
기본 URI의 view 작업에 조작된 SQL 명령을 포함한 id 파라미터 전송
🛡️ 대응 방법
phpBasic 최신 버전 업데이트, 사용자 입력 검증 강화, 준비된 문(Prepared Statement) 사용으로 SQL injection 방지
🔧 검증 코드
결과가 나타나면 해당 PHP 파일에서 id 파라미터를 직접 SQL 쿼리에 사용하는 취약한 코드가 있는지 확인하면 됩니다.
find /var/www -name '*.php' -type f 2>/dev/null | xargs grep -l 'id.*\$_GET' 2>/dev/null | grep -i music | head -1