🇰🇷 한글 설명
Service Shogun의 Ach Invoice App에서 파일 포함 구문(include/require)의 파일명 제어 부족으로 인해 PHP 원격 파일 포함(RFI) 및 로컬 파일 포함(LFI) 취약점이 발생합니다. 공격자는 임의의 파일을 포함시켜 원격 코드 실행을 수행할 수 있습니다.
💡 쉬운 설명
웹 애플리케이션이 사용자가 제공한 파일명을 검증 없이 PHP 코드에 포함시켜, 공격자가 악의적인 파일을 실행할 수 있게 합니다. 이를 통해 서버 전체가 침해될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Service Shogun Ach Invoice App ach-invoice-app allows PHP Local File Inclusion.This issue affects Ach Invoice App: from n/a through <= 1.0.1.
📍 영향받는 시스템
Service Shogun Ach Invoice App (ach-invoice-app) <= 1.0.1
⚔️ 공격 벡터
GET/POST 매개변수를 통한 파일명 조작으로 ../../../etc/passwd 또는 원격 URL 포함하여 파일 공개/코드 실행
🛡️ 대응 방법
1.0.2 이상으로 업그레이드하고 모든 파일 포함 함수 입력값에 화이트리스트 검증 구현
🔧 검증 코드
사용자 입력값이 직접 include/require에 사용되는 코드라인이 나타나면 취약점 존재, 없으면 패치됨
grep -r 'include\|require' /path/to/ach-invoice-app | grep -E '\$_(GET|POST|REQUEST)' | head -5