🇰🇷 한글 설명
PHP의 include/require 함수에서 파일명을 부적절하게 제어하여 발생하는 원격/로컬 파일 포함(RFI/LFI) 취약점입니다. Majestic Support 1.0.6 이하에서 사용자 입력을 충분히 검증하지 않아 공격자가 임의의 파일을 로드할 수 있습니다.
💡 쉬운 설명
웹 애플리케이션이 파일을 불러올 때 사용자 입력을 검증하지 않아, 공격자가 원하는 파일(민감한 설정 파일, 악성 파일 등)을 강제로 실행하게 할 수 있습니다. 이는 서버 정보 유출, 코드 실행, 시스템 침탈로 이어질 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in Majestic Support Majestic Support majestic-support allows PHP Local File Inclusion.This issue affects Majestic Support: from n/a through <= 1.0.6.
📍 영향받는 시스템
Majestic Support <= 1.0.6
⚔️ 공격 벡터
GET/POST 파라미터를 통해 include/require 대상 파일명을 조작하여 원격 URL 또는 로컬 경로의 파일 로드 유도
🛡️ 대응 방법
Majestic Support를 1.0.7 이상으로 업그레이드하고, 파일명 입력에 화이트리스트 기반 검증 및 경로 정규화(realpath) 적용
🔧 검증 코드
설치 버전이 1.0.6 이하로 표시되면 취약한 상태이며, 1.0.7 이상이거나 패키지가 없으면 안전함
dpkg -l | grep majestic-support || grep -r 'version' /opt/majestic-support/config* 2>/dev/null | head -1