🇰🇷 한글 설명
yii2-starter-kit 4.2.0 이하 버전에서 기본 개발 설정의 allowedIPs가 '*'로 설정되어 Yii 디버그 및 Gii 모듈이 모든 IP에 노출됩니다. 인증되지 않은 원격 공격자가 디버그 엔드포인트를 통해 세션 쿠키 및 데이터베이스 쿼리와 같은 민감한 정보를 탈취하거나, Gii 엔드포인트를 통해 애플리케이션 디렉토리에 PHP 파일을 생성 및 작성할 수 있습니다.
💡 쉬운 설명
개발용 도구가 보안 설정 없이 인터넷에 공개되어 있어 누구나 서버 내부 정보를 훔쳐보거나 악성 파일을 심을 수 있는 상태입니다. 마치 집 현관문을 열어두어 외부인이 들어와 일기장을 읽거나 집 구조를 바꿀 수 있는 것과 같습니다.
🇺🇸 원문 (English)
yii2-starter-kit through 4.2.0 exposes the Yii debug and Gii modules to all IP addresses by setting allowedIPs to ['*'] in its default development configuration. Unauthenticated remote attackers can access the debug endpoint to read sensitive data including session cookies and database queries, or access the Gii endpoint to generate and write PHP files into the application directory.
📍 영향받는 시스템
yii2-starter-kit 4.2.0 및 그 이전 버전
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 노출된 디버그 및 Gii 엔드포인트에 직접 접근
🛡️ 대응 방법
allowedIPs 설정을 '*'에서 특정 관리자 IP로 제한하거나, 운영 환경에서는 디버그 및 Gii 모듈을 비활성화해야 합니다.
🔧 검증 코드
명령어 결과로 allowedIPs가 ['*']로 설정된 코드가 출력되면 취약한 상태입니다.
grep -r "allowedIPs => ['*']" vendor/yiisoft/yii2-starter-kit