🇰🇷 한글 설명
Parallels Plesk Panel 11.0.9의 suexec 구현에서 cgi-wrapper 화이트리스트 검증 미흡으로 인한 취약점입니다. 공격자가 조작된 환경 변수를 포함한 요청을 전송하여 웹 서버의 권한으로 임의의 PHP 코드를 실행할 수 있습니다.
💡 쉬운 설명
Parallels 웹 호스팅 패널에서 프로그램 실행 방식의 보안 검사가 부족해 악의적인 사용자가 명령을 조작하여 원하는 코드를 실행할 수 있는 문제입니다. 서버 관리자 계정으로 실행되면 전체 시스템이 위험해집니다.
🇺🇸 원문 (English)
The suexec implementation in Parallels Plesk Panel 11.0.9 contains a cgi-wrapper whitelist entry, which allows user-assisted remote attackers to execute arbitrary PHP code via a request containing crafted environment variables.
📍 영향받는 시스템
Parallels Plesk Panel 11.0.9 및 이전 버전
⚔️ 공격 벡터
HTTP 요청에 조작된 환경 변수를 포함시켜 cgi-wrapper를 우회하여 PHP 코드 실행
🛡️ 대응 방법
Parallels Plesk Panel을 11.0.10 이상으로 업데이트하여 suexec 환경 변수 검증 기능 적용
🔧 검증 코드
설치된 Parallels Plesk Panel 버전이 11.0.9 이하면 취약, 11.0.10 이상이면 안전함
rpm -qa | grep plesk-panel || dpkg -l | grep plesk-panel | awk '{print $3}'