🇰🇷 한글 설명
Yonyou U8 CRM의 fillbacksettingedit.php 설정 엔드포인트에서 인증 없이 SQL 인젝션이 가능한 취약점이 발견되었습니다. 공격자는 DontCheckLogin=1 파라미터를 통해 인증을 우회하고 id 파라미터에 악성 SQL을 주입하여 임의의 명령을 실행할 수 있습니다. 특히 xp_cmdshell이 활성화된 MS SQL Server 환경에서는 운영체제 명령 실행 및 백도어 설치까지 가능합니다.
💡 쉬운 설명
로그인하지 않은 외부인이 시스템의 보안 검사를 속이고 데이터베이스에 몰래 명령을 내릴 수 있는 심각한 결함입니다. 이를 통해 해커가 컴퓨터를 마음대로 조종하거나 악성 파일을 심을 수 있습니다.
🇺🇸 원문 (English)
Yonyou U8 CRM contains an unauthenticated SQL injection vulnerability in the fillbacksettingedit.php configuration endpoint where the DontCheckLogin=1 parameter bypasses authentication and the id parameter is incorporated into SQL queries without sanitization. Attackers can exploit this flaw to execute arbitrary SQL commands and, on Microsoft SQL Server deployments with xp_cmdshell enabled, write backdoor files and execute arbitrary operating system commands. Exploitation evidence was first observed by the Shadowserver Foundation on 2025-02-13.
📍 영향받는 시스템
Yonyou U8 CRM (fillbacksettingedit.php 엔드포인트 사용 버전)
⚔️ 공격 벡터
인증 우회 파라미터(DontCheckLogin=1)를 이용한 SQL 인젝션 공격
🛡️ 대응 방법
해당 엔드포인트의 인증 로직을 수정하고, 입력값 검증(Sanitization)을 강화하며, MS SQL Server의 xp_cmdshell 기능을 비활성화하십시오.
🔧 검증 코드
해당 URL 호출 시 인증 없이 200 OK 응답이 오고 SQL 인젝션 구문이 동작한다면 취약한 상태입니다.
curl -s -I 'http://<TARGET_IP>/fillbacksettingedit.php?DontCheckLogin=1&id=1' | grep -E 'HTTP/1.1 200 OK'