🇰🇷 한글 설명
moziloCMS 1.10.2 이하 버전에서 PHPSESSID 파라미터를 조작하여 세션을 고정시킬 수 있는 취약점입니다. 공격자가 사용자의 세션을 강제로 고정시킨 후 세션 ID를 알고 있어 해당 세션으로 로그인한 사용자의 권한을 탈취할 수 있습니다.
💡 쉬운 설명
moziloCMS에서 공격자가 사용자의 로그인 세션 ID를 미리 정해두고 그것으로 로그인하도록 속일 수 있다는 뜻입니다. 이를 통해 사용자 계정으로 위장해 악의적인 작업을 수행할 수 있습니다.
🇺🇸 원문 (English)
Session fixation vulnerability in moziloCMS 1.10.2 and earlier allows remote attackers to hijack web sessions by setting the PHPSESSID parameter.
📍 영향받는 시스템
moziloCMS 1.10.2 이하 모든 버전
⚔️ 공격 벡터
PHPSESSID 파라미터를 조작하여 특정 세션 ID로 사용자를 유도하고, 공격자가 그 세션 ID를 사용하여 인증을 우회
🛡️ 대응 방법
moziloCMS를 1.10.3 이상으로 업그레이드하거나 PHPSESSID 검증 및 재생성 로직을 적용
🔧 검증 코드
moziloCMS 설치 경로를 찾고 PHPSESSID 처리 코드에서 세션 고정 방지 로직(session_regenerate_id) 여부를 확인
find / -name '*moziloCMS*' -o -name 'index.php' 2>/dev/null | xargs grep -l 'PHPSESSID' 2>/dev/null