🇰🇷 한글 설명
Hostiko 호스팅 제어판의 PHP include/require 문에서 파일명 검증 부재로 인해 발생하는 취약점입니다. 공격자가 조작된 매개변수를 통해 임의의 로컬 파일을 포함시켜 실행하거나 읽을 수 있습니다. 30.1 버전 미만의 모든 Hostiko 설치본이 영향을 받습니다.
💡 쉬운 설명
Hostiko 웹 애플리케이션이 사용자 입력을 확인하지 않고 파일을 불러오는 기능이 있어서, 해커가 원하는 파일을 강제로 불러올 수 있습니다. 이를 통해 서버의 중요한 설정 파일이나 개인정보 파일에 접근할 수 있게 됩니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in designingmedia Hostiko hostiko allows PHP Local File Inclusion.This issue affects Hostiko: from n/a through < 30.1.
📍 영향받는 시스템
designingmedia Hostiko < 30.1 모든 버전
⚔️ 공격 벡터
웹 요청의 파일 경로 매개변수 조작을 통한 LFI (예: ?file=../../../../etc/passwd)
🛡️ 대응 방법
Hostiko를 버전 30.1 이상으로 업그레이드하고, include/require에 전달되는 모든 파일명에 대해 화이트리스트 검증 구현
🔧 검증 코드
위 명령어로 입력값 검증 없는 include/require 호출이 있는지 확인합니다. basename/realpath/str_replace 등 안전한 함수로 감싸진 경우는 제외됩니다.
grep -r 'include\|require' /path/to/hostiko --include='*.php' | grep -v 'basename\|realpath\|str_replace' | head -5