🇰🇷 한글 설명
OrangeHRM 5.0에서 5.7 버전 사이의 메일 설정 및 전송 워크플로우에서 입력값 중립화 결함이 발견되었습니다. 공격자가 제어하는 값이 시스템의 sendmail 명령어로 직접 전달되어, 서버 내 파일 쓰기 및 웹 접근 가능 경로에 악성 파일을 생성함으로써 원격 코드 실행이 가능해집니다.
💡 쉬운 설명
이메일을 보내는 과정에서 입력된 정보를 제대로 검사하지 않아 발생하는 보안 문제입니다. 공격자가 특수하게 조작된 값을 입력하면 서버에 몰래 파일을 만들고, 이를 통해 서버를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
OrangeHRM is a comprehensive human resource management (HRM) system. From version 5.0 to 5.7, the application contains an input-neutralization flaw in its mail configuration and delivery workflow that allows user-controlled values to flow directly into the system’s sendmail command. Because these values are not sanitized or constrained before being incorporated into the command execution path, certain sendmail behaviors can be unintentionally invoked during email processing. This makes it possible for the application to write files on the server as part of the mail-handling routine, and in deployments where those files end up in web-accessible locations, the behavior can be leveraged to achieve execution of attacker-controlled content. The issue stems entirely from constructing OS-level command strings using unsanitized input within the mail-sending logic. This issue has been patched in version 5.8.
📍 영향받는 시스템
OrangeHRM version 5.0 to 5.7
⚔️ 공격 벡터
메일 설정 및 전송 로직 내의 검증되지 않은 입력값을 이용한 OS 명령 주입(Command Injection)
🛡️ 대응 방법
OrangeHRM을 보안 패치가 적용된 최신 버전인 5.8 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 OrangeHRM의 버전을 확인하여 5.8 미만(5.0~5.7)인 경우 취약한 상태입니다.
grep -r "OrangeHRM" /path/to/application/version_file 2>/dev/null || echo "Check application version manually"