🇰🇷 한글 설명
Nodesforum 1.033 및 1.045 버전에서 PHP 원격 파일 포함(RFI) 취약점이 존재합니다. register_globals이 활성화된 경우, 공격자가 erase_user_data.php와 pre_output.php의 _nodesforum_path_from_here_to_nodesforum_folder 및 _nodesforum_code_path 파라미터를 통해 임의의 PHP 코드를 원격으로 실행할 수 있습니다.
💡 쉬운 설명
오래된 Nodesforum 게시판 소프트웨어가 잘못된 설정으로 실행되면, 공격자가 특정 파일의 경로를 조작하여 악성 코드를 원격으로 실행할 수 있습니다. 이는 서버 설정(register_globals)이 활성화되어 있을 때 발생합니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in Nodesforum 1.033 and 1.045, when register_globals is enabled, allow remote attackers to execute arbitrary PHP code via a URL in the (1) _nodesforum_path_from_here_to_nodesforum_folder parameter to erase_user_data.php and the (2) _nodesforum_code_path parameter to pre_output.php. NOTE: some of these details are obtained from third party information.
📍 영향받는 시스템
Nodesforum 1.033, 1.045 (register_globals 활성화 상태)
⚔️ 공격 벡터
erase_user_data.php, pre_output.php의 경로 파라미터에 원격 파일 URL을 주입하여 악성 PHP 코드 실행
🛡️ 대응 방법
최신 버전으로 업그레이드하거나, register_globals을 비활성화하고, 입력값 검증 및 파일 포함 보안 강화
🔧 검증 코드
명령어가 취약한 파일들을 찾으면 Nodesforum이 설치되어 있으며, 해당 파일이 존재하면 입력값 검증 부분을 코드 리뷰하여 취약점 여부 확인 필요
find /var/www -name 'erase_user_data.php' -o -name 'pre_output.php' 2>/dev/null | xargs grep -l 'nodesforum' 2>/dev/null