🇰🇷 한글 설명
vFairs 3.3 버전에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 가상 컨퍼런스나 이벤트에 로그인한 사용자라면 프로필 사진 업로드 기능을 악용하여 서버에 악성 PHP 파일을 업로드하고 코드를 실행할 수 있습니다.
💡 쉬운 설명
이벤트 참가자가 프로필 사진을 올리는 척하면서 몰래 해킹용 파일을 서버에 심을 수 있는 문제입니다. 해커가 이 파일을 실행하면 서버의 제어권을 완전히 빼앗길 수 있습니다.
🇺🇸 원문 (English)
vFairs 3.3 is affected by Remote Code Execution. Any user logged in to a vFairs virtual conference or event can abuse the functionality to upload a profile picture in order to place a malicious PHP file on the server and gain code execution.
⚔️ 공격 벡터
로그인된 사용자가 프로필 사진 업로드 기능을 통해 악성 PHP 파일을 업로드하여 실행
🛡️ 대응 방법
vFairs를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 파일 업로드 시 확장자 검증 로직을 강화하십시오.
🔧 검증 코드
업로드 시도한 PHP 파일 경로로 요청을 보냈을 때 HTTP 200 응답이 오면 취약할 가능성이 높습니다.
curl -s http://<target_ip>/path/to/uploaded_file.php -I | grep 'HTTP/1.1 200 OK'