🇰🇷 한글 설명
Pandora FMS 5.0 SP2 이전 버전의 mobile/index.php 엔드포인트에서 loginhash_data 파라미터의 입력 검증이 부족하여 SQL 인젝션 공격이 가능합니다. 이를 통해 관리자 자격증명이나 활성 세션 토큰을 탈취할 수 있으며, 인증 우회 후 파일 매니저 컴포넌트의 MIME-type 제한 부재로 인해 PHP 웹 셸을 업로드하여 원격 코드 실행이 가능합니다.
💡 쉬운 설명
Pandora FMS 관리 시스템에서 특수 문자를 이용해 데이터베이스 명령을 조작할 수 있어 관리자 정보를 훔칠 수 있습니다. 그 후 파일 업로드 기능에서 실행 가능한 파일을 올려 서버를 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
An unauthenticated SQL injection vulnerability exists in Pandora FMS version 5.0 SP2 and earlier. The mobile/index.php endpoint fails to properly sanitize user input in the loginhash_data parameter, allowing attackers to extract administrator credentials or active session tokens via crafted requests. This occurs because input is directly concatenated into an SQL query without adequate validation, enabling SQL injection. After authentication is bypassed, a second vulnerability in the File Manager component permits arbitrary PHP file uploads. The file upload functionality does not enforce MIME-type or file extension restrictions, allowing authenticated users to upload web shells into a publicly accessible directory and achieve remote code execution.
📍 영향받는 시스템
Pandora FMS 5.0 SP2 및 그 이전 버전
⚔️ 공격 벡터
mobile/index.php의 loginhash_data 파라미터를 통한 SQL 인젝션으로 인증 우회 후 파일 매니저의 PHP 파일 업로드를 통한 원격 코드 실행
🛡️ 대응 방법
Pandora FMS를 5.0 SP2 이후의 최신 버전으로 업데이트하고, 모든 사용자 입력에 대해 SQL 파라미터화 쿼리를 사용하며, 파일 업로드 시 파일 확장자 및 MIME-type 검증을 구현하세요.
🔧 검증 코드
결과가 나오면 Pandora FMS의 mobile 모듈이 설치되어 있으며, 해당 파일의 loginhash_data 처리 부분을 grep -A5 'loginhash_data'로 검토하여 SQL 파라미터화 쿼리 사용 여부를 확인하세요.
find /var/www -name 'index.php' -path '*/mobile/*' 2>/dev/null | xargs grep -l 'loginhash_data' | head -1