🇰🇷 한글 설명
Changjetong T+ 16.x 이하 버전의 AjaxPro 엔드포인트에서 .NET 역직렬화 취약점이 발견되었습니다. 공격자가 조작된 JSON 요청을 보내면 원격에서 임의의 명령을 실행하여 시스템 권한을 탈취할 수 있습니다.
💡 쉬운 설명
프로그램이 데이터를 읽어들이는 과정에서 보안 검사가 미흡하여 발생하는 문제입니다. 해커가 특수한 명령이 담긴 데이터를 보내면 컴퓨터가 이를 정상적인 명령으로 착각해 실행하게 됩니다.
🇺🇸 원문 (English)
Changjetong T+ versions up to and including 16.x contain a .NET deserialization vulnerability in an AjaxPro endpoint that can lead to remote code execution. A remote attacker can send a crafted request to /tplus/ajaxpro/Ufida.T.CodeBehind._PriorityLevel,App_Code.ashx?method=GetStoreWarehouseByStore with a malicious JSON body that leverages deserialization of attacker-controlled .NET types to invoke arbitrary methods such as System.Diagnostics.Process.Start. This can result in execution of arbitrary commands in the context of the T+ application service account. Exploitation evidence was observed by the Shadowserver Foundation as early as 2023-08-19 (UTC).
📍 영향받는 시스템
Changjetong T+ 16.x 및 그 이하 모든 버전
⚔️ 공격 벡터
특정 AjaxPro 엔드포인트(/tplus/ajaxpro/...)에 조작된 JSON 바디를 포함한 HTTP 요청 전송
🛡️ 대응 방법
해당 소프트웨어 제조사의 최신 보안 패치를 적용하거나 취약한 엔드포인트에 대한 접근을 차단하십시오.
🔧 검증 코드
명령어 실행 시 서버 응답에 .NET 역직렬화 관련 오류나 스택 트레이스가 나타나면 취약할 가능성이 높습니다.
curl -s -X POST http://<TARGET_IP>/tplus/ajaxpro/Ufida.T.CodeBehind._PriorityLevel,App_Code.ashx?method=GetStoreWarehouseByStore -H 'Content-Type: application/json' -d '{}' | grep -E 'error|exception|stack trace'