🇰🇷 한글 설명
RavenNuke 2.30의 Your Account 모듈에서 인증된 사용자가 avatarlist.php를 통해 PHP 코드를 주입할 수 있는 취약점입니다. preg_replace 함수의 eval 스위치(/e modifier)가 사용자 입력을 처리하면서 임의의 PHP 코드 실행이 가능합니다.
💡 쉬운 설명
로그인한 사용자가 아바타 설정 페이지에서 특수한 코드를 입력하면 서버에서 임의의 명령을 실행할 수 있습니다. 공격자가 서버의 모든 파일에 접근하거나 수정할 수 있게 됩니다.
🇺🇸 원문 (English)
avatarlist.php in the Your Account module, reached through modules.php, in Raven Web Services RavenNuke 2.30 allows remote authenticated users to execute arbitrary code via PHP sequences in an element of the replacements array, which is processed by the preg_replace function with the eval switch, as specified in an element of the patterns array.
📍 영향받는 시스템
RavenNuke 2.30 이전 버전 (CMS 기반 웹사이트)
⚔️ 공격 벡터
인증된 사용자가 Your Account 모듈의 avatarlist.php에서 replacements 배열에 PHP 코드 주입
🛡️ 대응 방법
RavenNuke를 최신 패치 버전으로 업그레이드하거나 /e modifier 대신 preg_replace_callback으로 수정
🔧 검증 코드
프로그램이 /e modifier가 있는 preg_replace를 찾으면 취약점이 존재하며, avatarlist.php 파일 발견 시 해당 버전의 RavenNuke가 설치되어 있음을 확인할 수 있습니다.
grep -r 'preg_replace.*\/e' /path/to/ravennuke/ 2>/dev/null || grep -r 'avatarlist.php' /path/to/ravennuke/ | head -1