🇰🇷 한글 설명
Vfront 0.99.52의 mexcel.php 파일이 사용자 입력을 BASE64 디코딩 후 검증 없이 unserialize() 함수로 역직렬화하는 취약점입니다. 공격자는 임의의 PHP 객체를 주입하여 원격 코드 실행(RCE), SQL 인젝션, 경로 조회 또는 서비스 거부 공격을 수행할 수 있습니다.
💡 쉬운 설명
Vfront 웹 애플리케이션의 파일 업로드 기능에서 사용자의 입력을 확인 없이 처리합니다. 해커가 특수한 코드를 보내면 서버를 완전히 제어할 수 있습니다.
🇺🇸 원문 (English)
The file mexcel.php in the Vfront 0.99.52 codebase contains a vulnerable call to unserialize(base64_decode($_POST['mexcel'])), where $_POST['mexcel'] is user-controlled input. This input is decoded from base64 and deserialized without validation or use of the allowed_classes option, allowing an attacker to inject arbitrary PHP objects. This can lead to malicious behavior, such as Remote Code Execution (RCE), SQL Injection, Path Traversal, or Denial of Service, depending on the availability of exploitable classes in the Vfront codebase or its dependencies.
📍 영향받는 시스템
Vfront 0.99.52
⚔️ 공격 벡터
POST 요청의 mexcel 파라미터에 악의적인 BASE64 인코딩된 직렬화 PHP 객체를 전송하여 역직렬화 공격 수행
🛡️ 대응 방법
mexcel.php에서 unserialize() 함수 제거 및 json_decode() 사용 또는 PHP 8.0+의 allowed_classes 옵션과 strict 모드 적용
🔧 검증 코드
명령어 실행 후 unserialize(base64_decode 코드가 나타나면 취약하고, 'Not vulnerable'이 출력되면 패치된 상태입니다.
grep -n "unserialize(base64_decode" /path/to/mexcel.php 2>/dev/null || echo 'Not vulnerable'