🇰🇷 한글 설명
osCommerce 2.2 RC2a 및 그 이전 버전의 관리자 파일 관리자 유틸리티(admin/file_manager.php)에서 취약점이 발견되었습니다. 이 인터페이스는 입력 검증 및 접근 제어가 불충분하여, 인증되지 않은 공격자가 임의의 코드가 포함된 .php 파일을 업로드하고 실행할 수 있습니다.
💡 쉬운 설명
관리자 페이지의 파일 업로드 기능에 보안 허점이 있어, 해커가 몰래 악성 파일을 올릴 수 있는 문제입니다. 이를 통해 해커는 서버를 마음대로 조종할 수 있게 됩니다.
🇺🇸 원문 (English)
osCommerce versions up to and including 2.2 RC2a contain a vulnerability in its administrative file manager utility (admin/file_manager.php). The interface allows file uploads and edits without sufficient input validation or access control. An unauthenticated attacker can craft a POST request to upload a .php file containing arbitrary code, which is then executed by the server.
📍 영향받는 시스템
osCommerce versions up to and including 2.2 RC2a
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 POST 요청을 통해 악성 .php 파일을 업로드하여 원격 코드 실행(RCE)
🛡️ 대응 방법
osCommerce를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 파일 관리자 유틸리티의 접근 제어 및 입력 검증 로직을 강화해야 합니다.
🔧 검증 코드
명령어 결과로 해당 파일이 발견되면 취약한 관리자 도구가 존재하는 것이므로 보안 점검이 필요합니다.
find /var/www/html -name 'file_manager.php' -exec grep -l 'admin/file_manager.php' {} +