🇰🇷 한글 설명
Urna CMS의 PHP 파일 인클루드 처리에서 부적절한 파일명 제어로 인한 로컬 파일 포함(LFI) 취약점입니다. 공격자가 시스템 파일에 접근하거나 원격에서 악의적인 파일을 실행할 수 있습니다. Urna 2.5.12 이하 버전에서 발생합니다.
💡 쉬운 설명
Urna CMS의 파일을 불러오는 기능에서 검증이 제대로 되지 않아, 공격자가 원하는 파일을 마음대로 읽거나 실행할 수 있는 문제입니다. 이를 통해 서버의 민감한 정보를 탈취하거나 악의적인 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in thembay Urna urna allows PHP Local File Inclusion.This issue affects Urna: from n/a through <= 2.5.12.
📍 영향받는 시스템
Urna (thembay) 버전 2.5.12 이하
⚔️ 공격 벡터
PHP include/require 함수를 사용하는 파라미터에 조작된 경로를 전달하여 임의의 파일 접근
🛡️ 대응 방법
Urna를 최신 버전으로 업데이트하거나 입력값을 엄격하게 검증하는 보안 패치 적용
🔧 검증 코드
Urna 설치 경로에서 include/require 문을 포함하는 PHP 파일들을 찾아 취약한 파일 인클루드 패턴이 있는지 코드리뷰 필요
find /path/to/urna -name '*.php' -type f 2>/dev/null | head -1 | xargs grep -l 'include\|require' | head -3