🇰🇷 한글 설명
Horde Util 라이브러리의 Variables.php 파일에서 _formvars 폼 매개변수의 직렬화된 데이터를 안전하지 않게 처리하여 원격 공격자가 객체 주입 공격을 수행할 수 있습니다. 이를 통해 서버에서 임의의 PHP 코드 실행이 가능하며, Horde 5.1.1 이전 모든 버전이 영향을 받습니다.
💡 쉬운 설명
웹사이트의 특정 입력 창에 특수하게 조작된 데이터를 보내면 공격자가 서버에서 자신의 코드를 실행할 수 있습니다. 이를 통해 서버 전체를 제어하거나 민감한 데이터를 탈취할 수 있습니다.
🇺🇸 원문 (English)
The framework/Util/lib/Horde/Variables.php script in the Util library in Horde before 5.1.1 allows remote attackers to conduct object injection attacks and execute arbitrary PHP code via a crafted serialized object in the _formvars form.
📍 영향받는 시스템
Horde framework/Util library 버전 5.1.1 이전
⚔️ 공격 벡터
_formvars 폼 파라미터에 PHP 직렬화 형식으로 인코딩된 악의적인 객체 주입
🛡️ 대응 방법
Horde를 5.1.1 이상으로 업그레이드하고 모든 직렬화 입력에 대한 검증 추가
🔧 검증 코드
Horde 패키지가 설치된 경우 버전을 확인하여 5.1.1 미만이면 취약함; 또는 Variables.php 파일의 위치와 존재 여부 확인
dpkg -l 2>/dev/null | grep -E 'horde' | awk '{print $2,$3}' || find / -name 'Variables.php' -path '*/Horde/*' 2>/dev/null | head -1