🇰🇷 한글 설명
Convoy KVM 서버 관리 패널의 LocaleController에서 디렉토리 트래버설 취약점으로, 인증되지 않은 공격자가 locale과 namespace 파라미터를 조작하여 임의의 PHP 파일을 실행할 수 있습니다. 4.4.1 버전에서 패치되었습니다.
💡 쉬운 설명
호스팅 관리 프로그램의 언어 설정 기능에 허점이 있어서, 누구나 특수한 요청을 보내면 원하는 프로그램을 서버에서 실행하게 할 수 있습니다. 이를 막으려면 4.4.1 이상으로 업그레이드하거나 보안 방화벽을 설정해야 합니다.
🇺🇸 원문 (English)
Convoy is a KVM server management panel for hosting businesses. In versions 3.9.0-rc3 to before 4.4.1, there is a directory traversal vulnerability in the LocaleController component of Performave Convoy. An unauthenticated remote attacker can exploit this vulnerability by sending a specially crafted HTTP request with malicious locale and namespace parameters. This allows the attacker to include and execute arbitrary PHP files on the server. This issue has been patched in version 4.4.1. A temporary workaround involves implementing strict Web Application Firewall (WAF) rules to incoming requests targeting the vulnerable endpoints.
📍 영향받는 시스템
Convoy 3.9.0-rc3 ~ 4.4.0
⚔️ 공격 벡터
인증 없이 HTTP 요청의 locale/namespace 파라미터를 조작하여 임의의 PHP 파일 포함 및 실행
🛡️ 대응 방법
Convoy를 4.4.1 이상으로 즉시 업그레이드하거나 임시로 WAF를 통해 LocaleController 접근 제한
🔧 검증 코드
출력에서 convoy 버전을 확인합니다. 4.4.1 이상이면 안전하고, 3.9.0-rc3부터 4.4.0 사이이면 긴급 패치가 필요합니다.
dpkg -l 2>/dev/null | grep convoy || composer show convoy 2>/dev/null | head -1