🇰🇷 한글 설명
DB Electronica Telecomunicazioni S.p.A.의 Mozart FM Transmitter 특정 버전에서 Null Byte 주입을 통해 인증 없이 임의의 파일을 읽을 수 있는 취약점이 발견되었습니다. 공격자는 download_setting.php 엔드포인트의 파일 경로 생성 과정에서 Null Byte(%00)를 사용하여 확장자 제한을 우회하고 시스템 내부 파일을 탈취할 수 있습니다.
💡 쉬운 설명
해커가 파일 이름 뒤에 특수 기호를 붙여 시스템이 파일 형식을 착각하게 만드는 공격입니다. 이를 통해 원래는 볼 수 없는 중요한 시스템 설정 파일들을 몰래 읽어갈 수 있습니다.
🇺🇸 원문 (English)
Unauthenticated Arbitrary File Read via Null Byte Injection in DB Electronica Telecomunicazioni S.p.A. Mozart FM Transmitter versions 30, 50, 100, 300, 500, 1000, 2000, 3000, 3500, 6000, 7000 allows an attacker to perform Null byte injection in download_setting.php allows reading arbitrary files.
The `/var/tdf/download_setting.php` endpoint constructs file paths by concatenating user-controlled `$_GET['filename']` with a forced `.tgz` extension. Running on PHP 5.3.2 (pre-5.3.4), the application is vulnerable to null byte injection (%00), allowing attackers to bypass the extension restriction and traverse paths. By requesting `filename=../../../../etc/passwd%00`, the underlying C functions treat the null byte as a string terminator, ignoring the appended `.tgz` and enabling unauthenticated arbitrary file disclosure of any file readable by the web server user.
📍 영향받는 시스템
DB Electronica Telecomunicazioni S.p.A. Mozart FM Transmitter versions 30, 50, 100, 300, 500, 1000, 2000, 3000, 3500, 6000, 7000
⚔️ 공격 벡터
HTTP GET 요청의 filename 파라미터에 Null Byte(%00)를 포함한 경로 조작 문자열 주입
🛡️ 대응 방법
PHP 버전을 5.3.4 이상으로 업데이트하거나, 파일 경로 생성 시 입력값에 대한 Null Byte 필터링 및 경로 검증 로직을 적용해야 합니다.
🔧 검증 코드
명령어 결과에 PHP 5.3.2 이하 버전이 표시되면 해당 취약점에 노출될 가능성이 매우 높습니다.
php -v | grep -E 'PHP (5\[\.\d\.\d|[0-5]\.\d)'