🇰🇷 한글 설명
Pandora FMS 5.0RC1 이하 버전의 Anyterm 웹 인터페이스에서 TCP 8023 포트를 통해 인증 없이 임의의 명령어를 실행할 수 있는 취약점입니다. p 파라미터로 전달된 사용자 입력이 검증되지 않아 직접 쉘 명령어에 주입되며, pandora 계정에서 명령어 실행 후 artica 계정을 거쳐 root 권한 상승이 가능하여 전체 시스템 장악으로 이어집니다.
💡 쉬운 설명
Pandora FMS라는 모니터링 소프트웨어의 웹 관리 화면에서 누구나 악의적인 명령어를 실행할 수 있는 심각한 결함입니다. 이를 통해 공격자는 서버 전체를 장악할 수 있습니다.
🇺🇸 원문 (English)
An unauthenticated remote command execution vulnerability exists in Pandora FMS versions up to and including 5.0RC1 via the Anyterm web interface, which listens on TCP port 8023. The anyterm-module endpoint accepts unsanitized user input via the p parameter and directly injects it into a shell command, allowing arbitrary command execution as the pandora user. In certain versions (notably 4.1 and 5.0RC1), the pandora user can elevate privileges to root without a password using a chain involving the artica user account. This account is typically installed without a password and is configured to run sudo without authentication. Therefore, full system compromise is possible without any credentials.
📍 영향받는 시스템
Pandora FMS 5.0RC1 이하 모든 버전 (특히 4.1, 5.0RC1)
⚔️ 공격 벡터
TCP 8023 포트의 Anyterm 웹 인터페이스 p 파라미터에 쉘 메타문자 포함 입력 전송
🛡️ 대응 방법
Pandora FMS를 5.0GA 이상으로 업그레이드하고 TCP 8023 포트에 방화벽 제한 적용
🔧 검증 코드
8023 포트가 LISTEN 상태로 출력되면 Anyterm 서비스가 실행 중인 것이므로 취약점이 존재할 가능성이 높습니다. 출력되지 않으면 해당 포트는 개방되지 않은 상태입니다.
ss -tlnp 2>/dev/null | grep -E ':8023|LISTEN.*8023' || netstat -tlnp 2>/dev/null | grep 8023 || echo 'Port 8023 not detected'