🇰🇷 한글 설명
Mindmeld 1.2.0.10의 Remote File Inclusion (RFI) 취약점으로, MM_GLOBALS[home] 파라미터를 통해 원격 공격자가 악의적인 PHP 코드를 실행할 수 있습니다. admin_index.php 및 include 디렉토리의 여러 파일에서 사용자 입력을 검증하지 않고 포함시켜 발생합니다.
💡 쉬운 설명
웹사이트가 신뢰할 수 없는 외부 PHP 파일을 자동으로 실행하는 보안 결함입니다. 공격자가 악의적인 코드가 담긴 URL을 입력하면 서버에서 그 코드가 실행됩니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in Mindmeld 1.2.0.10 allow remote attackers to execute arbitrary PHP code via a URL in the MM_GLOBALS[home] parameter to (1) acweb/admin_index.php; and (2) ask.inc.php, (3) learn.inc.php, (4) manage.inc.php, (5) mind.inc.php, and (6) sensory.inc.php in include/.
📍 영향받는 시스템
Mindmeld 1.2.0.10 및 그 이전 버전
⚔️ 공격 벡터
MM_GLOBALS[home] 파라미터에 악의적인 외부 파일 URL을 입력하여 원격 코드 실행(RCE) 달성
🛡️ 대응 방법
Mindmeld 패치 버전으로 업그레이드하거나 입력값 검증 및 allow_url_include 비활성화 구현
🔧 검증 코드
Mindmeld 설치 디렉토리에서 취약한 MM_GLOBALS[home] 파라미터 사용 여부를 확인; 결과가 있으면 해당 버전이 취약함을 의미
grep -r 'MM_GLOBALS\[home\]' /var/www/mindmeld/ 2>/dev/null | head -5