🇰🇷 한글 설명
Drupal Bundle copy 모듈 7.x-1.1 이전 버전에서 설정 가져오기 시 'PHP 코드 실행' 권한을 검증하지 않아, 인증된 사용자가 임의의 PHP 코드를 실행할 수 있는 원격 코드 실행 취약점입니다. 이를 통해 공격자는 웹서버 권한으로 서버를 완전히 제어할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 모듈의 설정 가져오기 기능을 악용하여 서버에서 위험한 명령을 실행할 수 있는 문제입니다. 이를 통해 웹사이트의 모든 정보를 빼내거나 훼손할 수 있습니다.
🇺🇸 원문 (English)
The Bundle copy module 7.x-1.x before 7.x-1.1 for Drupal does not check for the "use PHP for settings" permission while importing settings, which allows remote authenticated users with certain permissions to execute arbitrary PHP code via unspecified vectors.
📍 영향받는 시스템
Drupal 7.x-1.x, Bundle copy 모듈 버전 7.x-1.1 미만
⚔️ 공격 벡터
Bundle copy 모듈의 설정 가져오기 기능을 통해 PHP 코드가 포함된 악성 설정 파일 제출
🛡️ 대응 방법
Bundle copy 모듈을 7.x-1.1 이상으로 업그레이드하거나 사용하지 않으면 제거
🔧 검증 코드
출력에서 7.x-1.1 미만의 버전이 표시되면 취약한 상태, 7.x-1.1 이상이면 패치됨
grep version /var/www/html/sites/all/modules/bundle_copy/bundle_copy.info 2>/dev/null | head -1