🔍 CVE-2025-54322

10.0
CVSS Score
CRITICAL
2025-12-27
2026-10-07 13:10
✅ 완료

🇰🇷 한글 설명

Xspeeder SXZOS 2025-12-26 이전 버전에서 chkid 파라미터에 base64 인코딩된 Python 코드를 통해 원격 코드 실행이 가능하다.

💡 쉬운 설명

해커가 특정 시스템에 원격으로 접근하여 코드를 실행할 수 있는 취약점이 발견되었습니다. 이는 시스템의 보안을 심각하게 위협할 수 있습니다. 영향을 받는 시스템은 Xspeeder SXZOS 2025-12-26 이전 버전입니다.

🇺🇸 원문 (English)

Xspeeder SXZOS through 2025-12-26 allows root remote code execution via base64-encoded Python code in the chkid parameter to vLogin.py. The title and oIP parameters are also used.

📍 영향받는 시스템

Xspeeder SXZOS 2025-12-26 이전 버전

⚔️ 공격 벡터

chkid 파라미터에 base64 인코딩된 Python 코드를 전송하여 원격 코드 실행

🛡️ 대응 방법

최신 버전의 Xspeeder SXZOS를 업데이트 하거나, chkid 파라미터에 대한 입력 검증을 강화하여 취약점을 수정할 수 있습니다.

🔧 검증 코드

로컬 시스템에서 Python을 설치하고, requests 라이브러리가 설치되어 있는지 확인합니다. 이후 verification_code의 Python 코드를 실행하여 결과를 확인할 수 있습니다. 코드 실행 전 localhost의 80번 포트가 열려 있는지 확인해야 하며, chkid 파라미터에 실제로 base64 인코딩된 Python 코드를 입력하지 말고, 테스트 목적으로만 사용합니다.

Shell / Script 
import requests
response = requests.get('http://localhost:80/vLogin.py', params={'chkid': 'base64 인코딩된 Python 코드'})
if response.status_code == 200:
    print({"result": "취약", "reason": "원격 코드 실행 가능"})
else:
    print({"result": "양호", "reason": "원격 코드 실행 불가"})

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

💻 영향받는 소프트웨어

Python