🇰🇷 한글 설명
phpBB의 plupload 기능과 phar:// 스트림 래퍼를 악용하여 인증된 공격자가 임의의 파일을 업로드할 수 있는 취약점입니다. 공격자는 특수하게 제작된 zip 파일을 업로드하고, imagick 파라미터를 통해 PHP 객체를 역직렬화함으로써 서버에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 특수한 파일을 업로드하여 서버를 원격으로 제어할 수 있는 취약점입니다. 해커가 서버에 악성 코드를 심어 실행시킬 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
phpBB contains an arbitrary file upload vulnerability that allows authenticated attackers to upload malicious files by exploiting the plupload functionality and phar:// stream wrapper. Attackers can upload a crafted zip file containing serialized PHP objects that execute arbitrary code when deserialized through the imagick parameter in attachment settings.
📍 영향받는 시스템
phpBB 3.2.10 및 3.3.0 이전 버전
⚔️ 공격 벡터
특수 제작된 ZIP 파일 업로드 및 phar:// 래퍼를 이용한 PHP 객체 역직렬화 공격
🛡️ 대응 방법
phpBB를 3.2.10 또는 3.3.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 숫자가 3.2.10 또는 3.3.0보다 낮은 경우 취약한 상태입니다.
grep '"version":' composer.json