🇰🇷 한글 설명
TalkBack 2.3.6의 install/info.php 파일이 phpinfo() 함수를 호출하여 원격 공격자가 직접 요청으로 서버 구성 정보를 획득할 수 있는 정보 공개 취약점입니다. PHP 버전, 설치 모듈, 환경변수 등 민감한 서버 정보가 노출됩니다.
💡 쉬운 설명
TalkBack 2.3.6에서 특정 파일(install/info.php)에 웹브라우저로 접속하면 서버의 모든 설정 정보가 노출됩니다. 이 정보는 공격자가 더 정교한 공격을 설계하는 데 활용됩니다.
🇺🇸 원문 (English)
TalkBack 2.3.6 allows remote attackers to obtain configuration information via a direct request to install/info.php, which calls the phpinfo function.
📍 영향받는 시스템
TalkBack 버전 2.3.6 이하
⚔️ 공격 벡터
http://[target]/install/info.php에 HTTP GET 요청으로 직접 접근
🛡️ 대응 방법
TalkBack을 패치된 버전으로 업그레이드하거나 install/ 디렉토리에 대한 웹 접근을 웹서버 설정이나 .htaccess로 제한
🔧 검증 코드
PHP 버전 정보가 출력되면 취약점이 존재하고, 404 또는 403 에러가 반환되면 보호된 상태입니다.
curl -s http://target/install/info.php 2>/dev/null | grep -i 'php version'