🇰🇷 한글 설명
DataLife Engine 8.3에서 여러 PHP 원격 파일 포함(RFI) 취약점이 존재하여 공격자가 selected_language, config[langs], config[lang], _REQUEST[skin] 등의 파라미터를 조작하여 임의의 PHP 코드를 원격 실행할 수 있습니다. 이는 웹서버 완전 제어 및 데이터 탈취로 이어질 수 있는 심각한 취약점입니다.
💡 쉬운 설명
웹사이트 관리 프로그램(DLE)의 설정 파일 경로를 악의적으로 변조하면 외부에서 해킹 코드를 실행할 수 있는 문제입니다. 공격자가 웹서버 전체를 장악할 수 있습니다.
🇺🇸 원문 (English)
Multiple PHP remote file inclusion vulnerabilities in DataLife Engine (DLE) 8.3 allow remote attackers to execute arbitrary PHP code via a URL in (1) the selected_language parameter to engine/inc/include/init.php, (2) the config[langs] parameter to engine/inc/help.php, (3) the config[lang] parameter to engine/ajax/pm.php, (4) and the _REQUEST[skin] parameter to engine/ajax/addcomments.php.
📍 영향받는 시스템
DataLife Engine (DLE) version 8.3 이하
⚔️ 공격 벡터
URL 파라미터 조작을 통한 원격 파일 포함(RFI)으로 PHP 코드 실행
🛡️ 대응 방법
DLE를 최신 버전으로 업그레이드하고 모든 사용자 입력에 대해 화이트리스트 검증 적용
🔧 검증 코드
파일이 발견되면 DLE가 설치되어 있으며, 8.3 버전 확인 후 업그레이드 필요 여부 판단
find /var/www -name 'init.php' -path '*/engine/inc/include/*' 2>/dev/null | xargs grep -l 'DataLife' 2>/dev/null