🇰🇷 한글 설명
PHPExcel 1.8.0 이전 버전이 libxml 외부 엔티티 로딩을 비활성화하지 않아 XXE 공격에 취약합니다. ownCloud 서버 5.0.15 및 6.0.2 이전 버전도 영향을 받으며, 공격자는 임의 파일 읽기, 서비스 거부 등을 유발할 수 있습니다.
💡 쉬운 설명
공격자가 특수 XML 파일을 업로드하여 서버의 비밀 파일을 읽거나 시스템을 마비시킬 수 있는 보안 결함입니다. ownCloud를 사용하는 조직에 직접적인 영향을 미칩니다.
🇺🇸 원문 (English)
PHPExcel before 1.8.0, as used in ownCloud Server before 5.0.15 and 6.0.x before 6.0.2, does not disable external entity loading in libxml, which allows remote attackers to read arbitrary files, cause a denial of service, or possibly have other impact via an XML External Entity (XXE) attack.
📍 영향받는 시스템
PHPExcel < 1.8.0, ownCloud Server < 5.0.15, ownCloud 6.0.x < 6.0.2
⚔️ 공격 벡터
XML External Entity (XXE) payload가 포함된 파일 업로드 또는 처리를 통한 원격 공격
🛡️ 대응 방법
PHPExcel을 1.8.0 이상으로 업그레이드하고 ownCloud를 5.0.15 또는 6.0.2 이상 버전으로 즉시 업그레이드
🔧 검증 코드
명령어 실행 후 ownCloud의 version.php 파일을 찾으면 현재 설치된 버전을 확인할 수 있으며, 5.0.15 미만 또는 6.0.0-6.0.1 버전이면 취약합니다.
find / -name 'version.php' -o -name 'Version.php' 2>/dev/null | xargs grep -l 'owncloud\|OwnCloud' | head -1