🇰🇷 한글 설명
Turnkey PHP Live Helper 2.0.1 이하 버전의 globalsoff.php 파일에 존재하는 eval injection 취약점으로, 원격 공격자가 chat.php의 test 매개변수를 통해 임의의 PHP 코드를 실행할 수 있다. 입력 값에 대한 적절한 검증이 없어 발생하는 원격 코드 실행(RCE) 취약점이다.
💡 쉬운 설명
웹 채팅 소프트웨어(Turnkey PHP Live Helper)가 사용자 입력을 제대로 검사하지 않아서, 공격자가 악의적인 코드를 실행할 수 있습니다. 이를 통해 서버 전체를 제어당할 수 있습니다.
🇺🇸 원문 (English)
Eval injection vulnerability in globalsoff.php in Turnkey PHP Live Helper 2.0.1 and earlier allows remote attackers to execute arbitrary PHP code via the test parameter, and probably arbitrary parameters, to chat.php.
📍 영향받는 시스템
Turnkey PHP Live Helper 2.0.1 이하 모든 버전
⚔️ 공격 벡터
HTTP GET/POST 요청으로 chat.php의 test 파라미터에 PHP eval 코드를 주입하여 원격 코드 실행
🛡️ 대응 방법
최신 버전으로 업그레이드하거나 eval() 함수 사용을 제거하고 입력 검증 강화
🔧 검증 코드
결과가 반환되면 eval()을 사용하는 취약한 버전이 설치된 것이며, 즉시 패치 또는 업그레이드 필요
find / -name 'globalsoff.php' 2>/dev/null | xargs grep -l 'eval' 2>/dev/null