🇰🇷 한글 설명
PHP iCalendar 2.4에서 직접 PHP 파일에 접근 시 오류 메시지를 통해 설치 경로가 노출되는 정보 공개 취약점입니다. 공격자가 rss/rss_common.php 등 특정 파일에 직접 요청하여 민감한 시스템 정보를 획득할 수 있습니다.
💡 쉬운 설명
PHP 프로그램의 설정 파일에 웹에서 직접 접근하면 컴퓨터의 폴더 위치가 그대로 보이는 문제입니다. 이 정보는 다른 공격을 준비하는 데 악용될 수 있습니다.
🇺🇸 원문 (English)
PHP iCalendar 2.4 allows remote attackers to obtain sensitive information via a direct request to a .php file, which reveals the installation path in an error message, as demonstrated by rss/rss_common.php and certain other files.
📍 영향받는 시스템
PHP iCalendar 2.4 및 이전 버전
⚔️ 공격 벡터
공격자가 직접 PHP 파일에 웹 요청을 보내면 오류 메시지에서 전체 설치 경로 노출
🛡️ 대응 방법
PHP iCalendar를 최신 버전으로 업그레이드하거나 .php 파일에 대한 직접 웹 접근을 차단하도록 서버 설정 수정
🔧 검증 코드
명령어 실행 후 경고 메시지나 경로 정보가 출력되면 취약점 존재, 아무것도 반환되지 않으면 패치됨을 의미
curl -s http://target/rss/rss_common.php 2>&1 | grep -i 'warning\|fatal\|path\|directory'