🇰🇷 한글 설명
Barberry의 PHP 프로그램에서 파일 경로 입력값을 제대로 검증하지 않아 공격자가 원격 또는 로컬 파일을 임의로 포함(include/require)시킬 수 있는 취약점입니다. 이를 통해 악의적인 코드를 실행하여 서버가 완전히 손상될 수 있습니다.
💡 쉬운 설명
PHP 웹사이트의 파일 읽기 기능에서 사용자 입력을 신뢰하는 바람에 공격자가 원하는 파일을 실행할 수 있습니다. 웹사이트의 모든 데이터가 유출되거나 서버 전체가 제어될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in temash Barberry barberry allows PHP Local File Inclusion.This issue affects Barberry: from n/a through <= 2.9.9.87.
📍 영향받는 시스템
Barberry 라이브러리 버전 2.9.9.87 이하
⚔️ 공격 벡터
공격자가 파일 경로 매개변수에 `../../../etc/passwd` 같은 악의적인 경로를 입력하여 서버의 민감한 파일을 포함하도록 강제
🛡️ 대응 방법
Barberry를 2.9.9.88 이상으로 업그레이드하고, 파일 경로 입력에 대한 화이트리스트 검증을 추가
🔧 검증 코드
출력된 버전이 2.9.9.87 이하면 취약하며 즉시 업데이트 필요, 2.9.9.88 이상이면 보안 패치가 적용된 상태
composer show temash/barberry 2>/dev/null | grep -i version || cat composer.lock 2>/dev/null | grep -A 2 'temash/barberry'