🇰🇷 한글 설명
Open Business Management 2.4.0-rc13 이전 버전의 test.php 파일에 인증 없이 직접 접근 가능하여, phpinfo() 함수가 실행되고 PHP 버전, 활성화된 모듈, 서버 환경변수 등 민감한 시스템 정보가 노출되는 정보 공개 취약점입니다.
💡 쉬운 설명
OBM 프로그램의 test.php 파일을 누구나 접근할 수 있어서 서버의 상세한 설정 정보가 공개됩니다. 공격자가 이 정보를 이용해 다른 더 심각한 공격을 준비할 수 있습니다.
🇺🇸 원문 (English)
Open Business Management (OBM) 2.4.0-rc13 and earlier allows remote attackers to obtain configuration information via a direct request to test.php, which calls the phpinfo function.
📍 영향받는 시스템
Open Business Management (OBM) 버전 2.4.0-rc13 및 이전 버전
⚔️ 공격 벡터
웹 브라우저에서 http://대상주소/test.php 직접 접근하여 phpinfo() 출력 확인
🛡️ 대응 방법
OBM을 최신 버전으로 업그레이드하거나 test.php 파일을 삭제하거나 웹 서버 설정에서 test.php 접근 제한
🔧 검증 코드
위 명령 실행 후 PHP 버전 정보가 나타나면 test.php가 노출되고 있으며 취약점이 존재하는 것으로 확인됨
curl -s http://target/test.php 2>/dev/null | grep -i 'php version'