🇰🇷 한글 설명
PHPfileNavigator 2.3.3에서 원격 공격자가 .php 파일에 직접 요청하여 오류 메시지를 통해 설치 경로 등 민감한 정보를 획득할 수 있는 정보 노출 취약점입니다. xestion/varios/logs.inc.php 등의 파일이 영향을 받습니다.
💡 쉬운 설명
PHPfileNavigator 웹 애플리케이션에서 특정 PHP 파일에 접근하면 서버의 설치 경로가 포함된 오류 메시지가 표시됩니다. 이를 통해 공격자가 시스템 구조 정보를 얻을 수 있어 추가 공격의 발판이 될 수 있습니다.
🇺🇸 원문 (English)
PHPfileNavigator 2.3.3 allows remote attackers to obtain sensitive information via a direct request to a .php file, which reveals the installation path in an error message, as demonstrated by xestion/varios/logs.inc.php and certain other files.
📍 영향받는 시스템
PHPfileNavigator 2.3.3
⚔️ 공격 벡터
웹 브라우저나 HTTP 도구로 취약한 .php 파일(예: xestion/varios/logs.inc.php)에 직접 HTTP 요청
🛡️ 대응 방법
PHPfileNavigator를 최신 버전으로 업그레이드하거나 오류 메시지에서 경로 정보를 숨기는 설정 적용
🔧 검증 코드
명령어 실행 후 경로나 설치 디렉토리 정보가 포함된 오류 메시지가 나타나면 취약점이 있는 것이고, 나타나지 않으면 패치되었거나 설정으로 숨겨진 것입니다.
curl -s http://target/xestion/varios/logs.inc.php 2>&1 | grep -iE '(path|directory|root|phpfilenavigator)' && echo 'Vulnerable' || echo 'Not vulnerable'