🇰🇷 한글 설명
Shopware 6의 서버 사이드 템플릿 인젝션(SSTI) 취약점으로, Twig 환경에 접근 가능한 원격 공격자가 SecurityExtension의 검증을 우회하여 완전 수식 이름(FQN)을 배열 형태로 전달함으로써 임의의 PHP 함수를 호출하고 임의 코드 및 명령을 실행할 수 있습니다. 이는 CVE-2023-22731의 우회 취약점이며, v6.4.20.1 이상으로 업그레이드하면 해결됩니다.
💡 쉬운 설명
쇼핑몰 웹사이트의 템플릿 엔진에 보안 허점이 있어, 외부인이 악성 명령을 몰래 서버에서 실행할 수 있습니다. 해커가 서버를 장악할 수 있으므로 즉시 업데이트가 필요합니다.
🇺🇸 원문 (English)
Server-side Template Injection (SSTI) in Shopware 6 (<= v6.4.20.0, v6.5.0.0-rc1 <= v6.5.0.0-rc4), affecting both shopware/core and shopware/platform GitHub repositories, allows remote attackers with access to a Twig environment without the Sandbox extension to bypass the validation checks in `Shopware\Core\Framework\Adapter\Twig\SecurityExtension` and call any arbitrary PHP function and thus execute arbitrary code/commands via usage of fully-qualified names, supplied as array of strings, when referencing callables. Users are advised to upgrade to v6.4.20.1 to resolve this issue. This is a bypass of CVE-2023-22731.
📍 영향받는 시스템
Shopware 6 v6.4.20.0 이하 및 v6.5.0.0-rc1 ~ v6.5.0.0-rc4 (shopware/core, shopware/platform)
⚔️ 공격 벡터
Twig 템플릿 환경에 접근 가능한 원격 공격자가 완전 수식 이름을 문자열 배열로 전달해 검증을 우회하고 임의 PHP 함수를 실행
🛡️ 대응 방법
Shopware v6.4.20.1 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 6.4.20.1 이상이면 패치 완료이며, 6.4.20.0 이하 또는 6.5.0.0-rc1~rc4 범위이면 취약합니다.
composer show shopware/core 2>/dev/null | grep -E 'versions|name'