🇰🇷 한글 설명
Akeneo PIM Community Edition의 특정 버전에서 인증된 원격 사용자가 조작된 이미지를 업로드하여 서버에서 임의의 PHP 코드를 실행할 수 있는 취약점이 발견되었습니다. 이 취약점은 Apache HTTP 서버 설정 문제로 인해 발생하며, 공격자는 이를 통해 서버 제어권을 획득할 수 있습니다.
💡 쉬운 설명
로그인이 가능한 사용자가 가짜 이미지를 올려서 서버에 몰래 명령어를 실행할 수 있는 보안 구멍입니다. 이로 인해 해커가 서버의 중요한 정보를 훔치거나 마음대로 조작할 위험이 있습니다.
🇺🇸 원문 (English)
Akeneo PIM is an open source Product Information Management (PIM). Akeneo PIM Community Edition versions before v5.0.119 and v6.0.53 allows remote authenticated users to execute arbitrary PHP code on the server by uploading a crafted image. Akeneo PIM Community Edition after the versions aforementioned provides patched Apache HTTP server configuration file, for docker setup and in documentation sample, to fix this vulnerability. Community Edition users must change their Apache HTTP server configuration accordingly to be protected. The patch for Cloud Based Akeneo PIM Services customers has been applied since 30th October 2022. Users are advised to upgrade. Users unable to upgrade may Replace any reference to `<FilesMatch \.php$>` in their apache httpd configurations with: `<Location "/index.php">`.
📍 영향받는 시스템
Akeneo PIM Community Edition v5.0.119 미만 및 v6.0.53 미만 버전
⚔️ 공격 벡터
인증된 사용자가 조작된 이미지 파일을 업로드하여 PHP 코드를 실행하는 방식
🛡️ 대응 방법
Akeneo PIM을 최신 버전으로 업그레이드하거나, Apache 설정에서 <FilesMatch \.php$>를 <Location "/index.php">로 변경
🔧 검증 코드
설치된 Akeneo PIM의 버전을 확인하여 취약한 버전 범위에 해당하는지 대조하십시오.
php -r 'echo "Akeneo PIM Version Check";' # 실제 버전 확인은 설치된 패키지 매니저나 애플리케이션 설정 파일을 통해 수행해야 함