🇰🇷 한글 설명
Drupal의 Values 모듈 7.x-1.2 미만 버전에서 권한 확인이 불충분하여, "Import value sets" 권한을 가진 원격 관리자가 ctools import 기능을 악용해 임의의 PHP 코드를 실행할 수 있습니다. 이는 Drupal 사이트의 완전한 장악으로 이어질 수 있습니다.
💡 쉬운 설명
Drupal의 Values 모듈에서 설정을 불러오는 기능이 안전하지 않아, 관리자 권한을 가진 공격자가 악의적인 코드를 심을 수 있습니다. 이를 통해 웹 사이트를 완전히 제어할 수 있게 됩니다.
🇺🇸 원문 (English)
The Values module 7.x-1.x before 7.x-1.2 for Drupal does not properly check permissions, which allows remote administrators with the "Import value sets" permission to execute arbitrary PHP code via the exported values list in a ctools import.
📍 영향받는 시스템
Drupal Values module 7.x-1.x (version < 7.x-1.2)
⚔️ 공격 벡터
"Import value sets" 권한을 가진 원격 관리자가 ctools import를 통해 악의적으로 조작된 value sets을 업로드하여 PHP 코드 실행
🛡️ 대응 방법
Values 모듈을 7.x-1.2 이상으로 업데이트하고, 불필요한 관리자에게 "Import value sets" 권한 제거
🔧 검증 코드
7.x-1.0 또는 7.x-1.1이 표시되면 취약하며, 7.x-1.2 이상이거나 결과가 없으면 안전
find . -name values.info 2>/dev/null -exec grep -E 'version' {} + | grep -oE '7\.x-1\.[0-1]'