🔍 CVE-2017-11154

7.2
CVSS Score
HIGH
2017-08-08
2026-05-13 00:24
✅ 완료

🇰🇷 한글 설명

Synology Photo Station의 PixlrEditorHandler.php에서 type 매개변수를 통해 권한 없는 파일 업로드로 인한 임의의 PHP 스크립트 생성 취약점입니다. 원격 공격자가 악의적인 PHP 파일을 업로드하여 서버의 완전한 제어권을 획득할 수 있습니다.

💡 쉬운 설명

Synology 사진 보관 서비스에서 누구나 악성 파일을 업로드할 수 있는 보안 허점입니다. 공격자가 이를 이용하면 서버를 완전히 장악할 수 있습니다.

🇺🇸 원문 (English)

Unrestricted file upload vulnerability in PixlrEditorHandler.php in Synology Photo Station before 6.7.3-3432 and 6.3-2967 allows remote attackers to create arbitrary PHP scripts via the type parameter.

📍 영향받는 시스템

Synology Photo Station 6.7.3-3432 미만, 6.3-2967 미만 모든 버전

⚔️ 공격 벡터

PixlrEditorHandler.php의 type 파라미터에 PHP 파일을 포함한 multipart form 요청 전송으로 임의 코드 실행

🛡️ 대응 방법

Photo Station을 6.7.3-3432 이상 또는 6.3-2967 이상으로 업데이트하고, 불필요한 경우 Photo Station 비활성화

🔧 검증 코드

6.7.3 이상 또는 6.3-2967 이상이면 패치됨. 그 이하 버전이 출력되면 취약함

Shell / Script 
grep -h '^version=' /var/packages/PhotoStation*/INFO 2>/dev/null | sed 's/version=//' | awk -F'-' '{print $1}' | head -1

📊 CVSS Vector String

CVSS Vector 
CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP