🇰🇷 한글 설명
Concrete CMS 9.5.2 미만 버전은 Permission, Cache, Search 구성 요소에서 unserialize() 호출을 통해 PHP 객체 주입 취약점이 존재합니다. 공격자가 데이터베이스에 악성 직렬화 페이로드를 삽입하면 인증 없이 임의의 PHP 객체를 인스턴스화할 수 있습니다.
💡 쉬운 설명
이 취약점은 시스템이 신뢰할 수 없는 데이터를 처리할 때 악의적인 코드가 실행되도록 허용합니다. 공격자가 데이터베이스를 조작하여 시스템의 권한을 탈취하거나 임의의 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
Concrete CMS below 9.5.2 is vulnerable to PHP Object Injection via unserialize() calls in the in Permission, Cache, and Search components. An unauthenticated attacker may trigger arbitrary PHP object instantiation if a malicious serialized payload has been placed in the database. Thanks XananasX7 for reporting.
📍 영향받는 시스템
Concrete CMS versions below 9.5.2
⚔️ 공격 벡터
데이터베이스에 악성 직렬화 페이로드 삽입을 통해 unserialize() 함수를 악용
🛡️ 대응 방법
Concrete CMS를 최신 버전(9.5.2 이상)으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 9.5.2 미만인 경우 취약한 버전으로 판단해야 합니다.
grep -r 'version' /path/to/concrete/config/config.php 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'