🇰🇷 한글 설명
Drupal의 CTools 모듈 6.x 버전에서 eval injection 취약점이 존재합니다. 페이지 관리자 권한을 가진 인증된 사용자가 import 기능의 텍스트 영역을 통해 임의의 PHP 코드를 실행할 수 있습니다. 6.x-1.4 버전 이전에서 영향을 받습니다.
💡 쉬운 설명
Drupal 관리 도구의 특정 모듈에서 관리자 권한을 가진 사용자가 악의적인 코드를 주입할 수 있습니다. 이를 통해 웹 서버에서 임의의 명령을 실행하여 전체 사이트를 장악할 수 있습니다.
🇺🇸 원문 (English)
Multiple eval injection vulnerabilities in the import functionality in the Chaos Tool Suite (aka CTools) module 6.x before 6.x-1.4 for Drupal allow remote authenticated users, with "administer page manager" privileges, to execute arbitrary PHP code via input to a text area, related to (1) the page_manager_page_import_subtask_validate function in page_manager/plugins/tasks/page.admin.inc and (2) the page_manager_handler_import_validate function in page_manager/page_manager.admin.inc.
📍 영향받는 시스템
Drupal CTools 모듈 6.x 버전 (6.x-1.4 이전)
⚔️ 공격 벡터
페이지 관리자('administer page manager') 권한을 가진 인증된 사용자가 page manager의 import 텍스트 영역에 PHP 코드 입력
🛡️ 대응 방법
CTools 모듈을 6.x-1.4 이상으로 업데이트
🔧 검증 코드
결과에서 버전 번호가 6.x-1.4 이상이면 패치됨, 그 이하면 즉시 업데이트 필요
find /var/www -name ctools.module 2>/dev/null | xargs grep -l 'version' | head -1 && drush pm-info ctools 2>/dev/null || echo 'CTools module not found'