🇰🇷 한글 설명
Pro Clan Manager 0.4.2 이하 버전에서 PHPSESSID 파라미터를 통한 세션 고정 취약점이 존재합니다. 공격자가 사용자의 세션 ID를 임의로 설정하여 웹 세션을 탈취할 수 있습니다.
💡 쉬운 설명
웹사이트의 로그인 세션을 고유하게 식별하는 ID가 안전하게 생성되지 않아, 해커가 자신이 원하는 ID로 강제 설정할 수 있습니다. 이를 이용해 피해자가 로그인할 때 해커도 같은 세션으로 접근하게 됩니다.
🇺🇸 원문 (English)
Session fixation vulnerability in Pro Clan Manager 0.4.2 and earlier allows remote attackers to hijack web sessions by setting the PHPSESSID parameter.
📍 영향받는 시스템
Pro Clan Manager 0.4.2 및 이전 모든 버전
⚔️ 공격 벡터
HTTP GET/POST 요청을 통해 PHPSESSID 파라미터에 특정 값을 설정하여 세션 고정 수행
🛡️ 대응 방법
Pro Clan Manager를 0.4.3 이상으로 업그레이드하거나, PHP 세션 설정에서 session.use_strict_mode를 활성화하고 로그인 전후 세션 ID를 재생성
🔧 검증 코드
Pro Clan Manager 설치 디렉토리를 찾으면 버전 확인 가능하며, 검색 결과가 없으면 해당 애플리케이션이 설치되지 않은 상태입니다.
find /var/www /home -name 'includes' -o -name 'config.php' 2>/dev/null | grep -i 'clan' | head -5