🇰🇷 한글 설명
HUBScript 1.0에서 인증 없이 manage/phpinfo.php 파일에 접근하여 phpinfo() 함수가 실행되는 정보 공개 취약점입니다. 서버의 PHP 설정, 설치된 모듈, 환경 변수 등 민감한 시스템 정보가 노출되어 추가 공격의 발판이 될 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 파일에 누구나 접근하면 서버의 비밀 정보(설치된 프로그램, 설정값 등)가 그대로 보입니다. 공격자가 이 정보를 이용해 더 위험한 공격을 준비할 수 있습니다.
🇺🇸 원문 (English)
HUBScript 1.0 allows remote attackers to obtain configuration information via a direct request to manage/phpinfo.php, which calls the phpinfo function.
📍 영향받는 시스템
HUBScript 1.0 이하 버전
⚔️ 공격 벡터
manage/phpinfo.php에 인증 없이 HTTP GET 요청 전송하여 서버 정보 획득
🛡️ 대응 방법
HUBScript를 최신 버전으로 업그레이드하거나 manage/phpinfo.php 파일을 삭제하고, 웹서버 접근 제어로 민감한 파일 차단
🔧 검증 코드
manage 디렉토리 아래의 phpinfo.php 파일이 검색되면 취약점 존재 가능성. 파일을 찾을 수 없으면 설치되지 않았거나 이미 제거된 상태
find / -name phpinfo.php 2>/dev/null | grep manage