🔍 CVE-2008-6305

6.8
CVSS Score
MEDIUM
2009-02-26
2026-04-23 00:35
✅ 완료

🇰🇷 한글 설명

Free Directory Script 1.1.1의 init.php에서 register_globals이 활성화되었을 때 발생하는 원격 파일 포함(RFI) 취약점입니다. API_HOME_DIR 파라미터를 통해 공격자가 임의의 PHP 코드를 실행할 수 있습니다.

💡 쉬운 설명

웹 서버 설정이 잘못되었을 때 공격자가 원격 악성 파일을 서버에서 실행시킬 수 있는 문제입니다. 마치 서버가 인터넷에서 아무 파일이나 가져와서 실행해주는 것과 같습니다.

🇺🇸 원문 (English)

PHP remote file inclusion vulnerability in init.php in Free Directory Script 1.1.1, when register_globals is enabled, allows remote attackers to execute arbitrary PHP code via a URL in the API_HOME_DIR parameter.

📍 영향받는 시스템

Free Directory Script 1.1.1 (register_globals enabled)

⚔️ 공격 벡터

API_HOME_DIR 파라미터에 악의적인 원격 URL을 입력하여 임의 PHP 코드 실행

🛡️ 대응 방법

Free Directory Script를 최신 버전으로 업그레이드, register_globals 비활성화, 입력값 검증 및 화이트리스트 필터링 적용

🔧 검증 코드

VULNERABLE 메시지가 출력되면 register_globals가 활성화되어 있어 해당 취약점에 노출되어 있습니다. SAFE가 출력되면 설정상 안전합니다.

Shell / Script 
php -r "echo ini_get('register_globals') ? 'VULNERABLE: register_globals enabled' : 'SAFE: register_globals disabled';" 2>/dev/null

📊 CVSS Vector String

CVSS Vector 
AV:N/AC:M/Au:N/C:P/I:P/A:P

💻 영향받는 소프트웨어

PHP