🇰🇷 한글 설명
MySQL 또는 MariaDB를 데이터베이스로 사용하는 openSIS 8.0 버전에서 SQL 인젝션 취약점이 발견되었습니다. 공격자는 index.php의 USERNAME 파라미터를 통해 악의적인 SQL 명령을 실행할 수 있으며, 이는 CVE-2020-6637에 대한 불완전한 수정으로 인해 발생할 수 있습니다.
💡 쉬운 설명
데이터베이스 관리 프로그램에 잘못된 명령어를 입력하여 정보를 빼내거나 조작할 수 있는 보안 약점입니다. 로그인 창의 사용자 이름 입력란을 통해 해커가 데이터베이스를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
A SQL injection vulnerability exists in version 8.0 of openSIS when MySQL or MariaDB is used as the application database. An attacker can then issue the SQL command through the index.php USERNAME parameter. NOTE: this issue may exist because of an incomplete fix for CVE-2020-6637.
📍 영향받는 시스템
openSIS version 8.0 (MySQL 또는 MariaDB 사용 시)
⚔️ 공격 벡터
index.php 파일의 USERNAME 파라미터를 통한 SQL 인젝션 공격
🛡️ 대응 방법
openSIS를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 입력값 검증 로직을 강화해야 합니다.
🔧 검증 코드
명령어 결과로 출력된 파일 경로가 openSIS 설치 경로 내의 index.php라면 해당 취약점의 공격 대상이 될 가능성이 있습니다.
find /var/www/html -name "index.php" | xargs grep -l "USERNAME" 2>/dev/null