🇰🇷 한글 설명
BigTree CMS 4.2.18 이하에서 인증된 사용자가 PHP 웹셸을 포함한 악의적인 패키지를 업로드하여 ZIP 파일 추출 시 임의의 PHP 코드를 실행할 수 있는 취약점입니다. 개발자 패키지/확장 설치 모듈의 부적절한 입력 검증으로 인해 cache/package/xxx/yyy.php 같은 경로에 악성 파일이 저장될 수 있습니다.
💡 쉬운 설명
BigTree CMS에서 확장 프로그램을 설치할 때 해커가 숨겨진 코드가 있는 패키지를 올리면 서버가 이를 실행하게 됩니다. 시스템이 설치하는 모든 패키지를 완전히 신뢰하기 때문에 위험합니다.
🇺🇸 원문 (English)
BigTree CMS through 4.2.18 allows remote authenticated users to execute arbitrary code by uploading a crafted package containing a PHP web shell, related to extraction of a ZIP archive to filename patterns such as cache/package/xxx/yyy.php. This issue exists in core\admin\modules\developer\extensions\install\unpack.php and core\admin\modules\developer\packages\install\unpack.php. NOTE: the vendor states "You must implicitly trust any package or extension you install as they all have the ability to write PHP files.
📍 영향받는 시스템
BigTree CMS 버전 4.2.18 이하
⚔️ 공격 벡터
인증된 사용자가 PHP 웹셸을 포함한 악의적인 패키지/확장을 업로드하여 서버에서 임의 코드 실행
🛡️ 대응 방법
BigTree CMS를 최신 버전으로 업그레이드하거나, 신뢰할 수 있는 출처의 패키지만 설치하고 개발자 패키지 설치 기능에 대한 접근 제한
🔧 검증 코드
BigTree CMS 설치 경로에서 unpack.php가 발견되면 해당 파일의 PHP 버전(5.x)과 extract() 함수 사용 여부로 취약성 확인
find /var/www -type f -name 'unpack.php' 2>/dev/null | head -5