🇰🇷 한글 설명
FluxCP는 rAthena 서버용 웹 기반 제어판(PHP)으로, 세션 쿠키만으로 상태 변경 요청을 인증하고 CSRF 토큰이나 Referer 검증이 부족합니다. 공격자가 로그인한 사용자를 제어하는 페이지로 유인하면 사용자의 의도 없이 민감한 작업을 수행할 수 있습니다.
💡 쉬운 설명
FluxCP 제어판이 사용자 확인 없이 중요한 명령을 실행하도록 할 수 있는 취약점입니다. 공격자가 만든 웹사이트에 로그인한 상태에서 방문하면, 자신도 모르게 계정에서 작업이 이루어질 수 있습니다.
🇺🇸 원문 (English)
FluxCP is a web-based Control Panel for rAthena servers written in PHP. A critical Cross-Site Request Forgery (CSRF) vulnerability exists in the FluxCP-based website template used by multiple rAthena/Ragnarok servers. State-changing POST endpoints accept browser-initiated requests that are authorized solely by the session cookie without per-request anti-CSRF tokens or robust Origin/Referer validation. An attacker who can lure a logged-in user to an attacker-controlled page can cause that user to perform sensitive actions without their intent. This vulnerability is fixed with commit e3f130c.
📍 영향받는 시스템
FluxCP (rAthena Ragnarok 서버 제어판) - 커밋 e3f130c 이전의 모든 버전
⚔️ 공격 벡터
공격자가 제작한 웹페이지로 로그인된 사용자를 유인하여 브라우저가 자동으로 CSRF 요청을 전송하도록 유도
🛡️ 대응 방법
FluxCP를 커밋 e3f130c 이후 버전으로 업그레이드하거나 공식 패치 적용
🔧 검증 코드
FluxCP 설치 경로를 확인하여 시스템에 영향받는 버전이 설치되어 있는지 확인합니다. 경로가 표시되면 버전을 확인하고 업그레이드 필요성 판단
find /var/www -name '*.php' -path '*fluxcp*' 2>/dev/null | head -1 || find /home -name '*fluxcp*' -type d 2>/dev/null | head -1