🇰🇷 한글 설명
PHP Networker 라이브러리에서 파일 포함 문구(include/require)의 파일명 제어가 불충분하여 발생하는 로컬/원격 파일 포함(LFI/RFI) 취약점입니다. 공격자는 특별히 제작된 입력값을 통해 임의의 파일을 포함시킬 수 있으며, 이는 원격 코드 실행으로 이어질 수 있습니다. 1.2.0 이하 모든 버전이 영향받습니다.
💡 쉬운 설명
Networker 프로그램이 포함할 파일명을 제대로 검증하지 않아서, 공격자가 다른 파일들을 몰래 로드할 수 있습니다. 이를 통해 민감한 정보 유출이나 악성 코드 실행이 가능합니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in codesupplyco Networker networker allows PHP Local File Inclusion.This issue affects Networker: from n/a through <= 1.2.0.
📍 영향받는 시스템
codesupplyco Networker <= 1.2.0
⚔️ 공격 벡터
공격자가 조작된 파일 경로를 입력값으로 제공하여 임의의 파일을 include/require로 포함시킵니다.
🛡️ 대응 방법
Networker를 1.2.1 이상으로 업그레이드하고, 입력값 화이트리스트 검증 및 realpath() 함수로 경로 정규화를 구현합니다.
🔧 검증 코드
발견된 파일들의 버전 메타정보와 include/require 문의 입력값 검증 로직을 확인하여 취약성 여부를 판단합니다.
find / -name 'networker*' -type f 2>/dev/null | xargs grep -l 'include\|require' 2>/dev/null | head -3