🇰🇷 한글 설명
Adminer 6.1.1 미만 버전에서 인증된 SQLite 사용자가 UTF-8 BOM을 사용하여 ATTACH 및 VACUUM INTO 제한을 우회할 수 있는 원격 코드 실행 취약점이 발견되었습니다. 공격자는 PHP가 실행되는 경로에 데이터베이스 파일을 연결하고 PHP 코드가 포함된 테이블을 생성하여 웹 서버 권한으로 코드를 실행할 수 있습니다.
💡 쉬운 설명
데이터베이스 관리 도구인 Adminer의 보안 허점을 이용해 해커가 서버에 몰래 명령어를 실행할 수 있는 문제입니다. 특수하게 조작된 데이터베이스 파일을 통해 서버의 제어권을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
Adminer before 6.1.1 contains a remote code execution vulnerability that allows authenticated SQLite users to bypass ATTACH and VACUUM INTO restrictions by prefixing statements with a UTF-8 byte-order mark. Attackers can attach a database file at a PHP-served path and create a table named with PHP code to execute it as the web server user.
📍 영향받는 시스템
Adminer 6.1.1 미만 모든 버전
⚔️ 공격 벡터
인증된 SQLite 사용자가 UTF-8 BOM을 이용한 SQL 구문 우회 및 PHP 파일 생성
🛡️ 대응 방법
Adminer를 최신 버전인 6.1.1 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 Adminer의 버전을 확인하여 6.1.1 미만인지 점검하십시오.
php -r 'echo "Adminer version check required";' && curl -s http://localhost/adminer.php | grep -i 'version' || echo 'Version info not found'