🇰🇷 한글 설명
LiveZilla 5.1.2.1 이전 버전의 setCookieValue 함수가 직렬화된 PHP 객체를 충분히 검증하지 않아, 공격자가 조작된 쿠키를 통해 임의의 PHP 코드를 서버에서 실행할 수 있습니다. 이는 서버의 완전한 제어를 초래할 수 있는 원격 코드 실행(RCE) 취약점입니다.
💡 쉬운 설명
LiveZilla 라이브 채팅 소프트웨어가 쿠키를 안전하게 처리하지 않아, 해커가 특수 제작한 쿠키를 보내면 웹 서버에서 임의의 명령을 실행하게 됩니다. 이를 통해 웹사이트 전체를 장악당할 수 있습니다.
🇺🇸 원문 (English)
The setCookieValue function in _lib/functions.global.inc.php in LiveZilla before 5.1.2.1 allows remote attackers to execute arbitrary PHP code via a serialized PHP object in a cookie.
📍 영향받는 시스템
LiveZilla before 5.1.2.1
⚔️ 공격 벡터
Remote attacker sends malicious serialized PHP object in HTTP cookie to trigger code execution
🛡️ 대응 방법
Upgrade to LiveZilla 5.1.2.1 or later
🔧 검증 코드
LiveZilla 설치 디렉토리의 버전 파일을 찾아 버전 번호를 확인합니다. 5.1.2.1 미만이면 취약하며, 즉시 업그레이드가 필요합니다.
find / -path '*livezilla*' -name 'version.php' 2>/dev/null | xargs cat 2>/dev/null | head -1