🇰🇷 한글 설명
QuantumCloud ChatBot의 PHP include/require 문에서 파일명을 부적절하게 제어하는 취약점으로, 공격자가 원격 파일이나 시스템 파일에 접근할 수 있습니다. 6.3.5 이하 버전에서 로컬/원격 파일 포함(LFI/RFI)을 통한 임의 코드 실행이 가능합니다.
💡 쉬운 설명
ChatBot 프로그램이 파일 경로를 검증하지 않아, 공격자가 원격 파일을 실행하거나 서버의 중요 파일을 읽을 수 있는 보안 결함입니다. 서버 장악이나 정보 유출로 이어질 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in QuantumCloud ChatBot chatbot allows PHP Local File Inclusion.This issue affects ChatBot: from n/a through <= 6.3.5.
📍 영향받는 시스템
QuantumCloud ChatBot 버전 6.3.5 이하
⚔️ 공격 벡터
include/require 함수의 파일 경로 매개변수에 원격 URL(http://) 또는 필터 우회 경로(php://filter) 등을 주입
🛡️ 대응 방법
QuantumCloud ChatBot을 최신 버전으로 업데이트하고, 화이트리스트 기반 파일 경로 검증 구현
🔧 검증 코드
설치된 chatbot 패키지 목록이 나타나면 버전 번호를 확인하여 6.3.5 이하인지 검증합니다. 결과가 없으면 해당 소프트웨어가 설치되지 않은 것입니다.
dpkg -l | grep -i chatbot || rpm -qa | grep -i chatbot