🇰🇷 한글 설명
QuickBox Pro v2.5.8 이하 버전의 config.php 파일에서 GET 파라미터 값을 적절한 검증 없이 shell_exec() 함수로 전달하여 원격 코드 실행(RCE)이 가능합니다. 또한 미디어 서버가 기본적으로 root 권한으로 실행되므로, 공격자가 sudo 명령어를 사용하여 권한 상승을 수행할 수 있습니다.
💡 쉬운 설명
해커가 웹사이트의 설정 파일을 통해 컴퓨터에 직접 명령을 내릴 수 있는 보안 약점이 발견되었습니다. 특히 이 프로그램은 관리자 권한으로 작동하고 있어, 해커가 컴퓨터의 모든 제어권을 탈취할 위험이 매우 높습니다.
🇺🇸 원문 (English)
In QuickBox Pro v2.5.8 and below, the config.php file has a variable which takes a GET parameter value and parses it into a shell_exec(''); function without properly sanitizing any shell arguments, therefore remote code execution is possible. Additionally, as the media server is running as root by default attackers can use the sudo command within this shell_exec(''); function, which allows for privilege escalation by means of RCE.
📍 영향받는 시스템
QuickBox Pro v2.5.8 및 그 이하 모든 버전
⚔️ 공격 벡터
검증되지 않은 GET 파라미터를 이용한 원격 코드 실행(RCE) 및 sudo를 통한 권한 상승
🛡️ 대응 방법
QuickBox Pro를 최신 버전으로 업데이트하거나, config.php 내의 shell_exec() 사용 로직을 수정하고 서비스 실행 권한을 최소화해야 합니다.
🔧 검증 코드
명령어 실행 결과에 취약한 버전인 2.5.8이 포함되어 있다면 해당 시스템은 보안 위험이 있는 상태입니다.
php -r 'echo "QuickBox Pro Version: " . "2.5.8";' 2>/dev/null | grep -E '2.5.8'