🇰🇷 한글 설명
ILIAS의 특정 버전에서 발생하는 PHP 객체 주입 취약점으로, 테스트 생성 또는 가져오기 권한을 가진 인증된 사용자가 조작된 테스트 아카이브를 통해 임의의 객체를 역직렬화할 수 있습니다. 공격자는 악성 tst_sequence 속성을 주입하여 Guzzle 또는 Monolog 가젯 체인을 악용함으로써 PHP 파일을 생성하고 원격 코드를 실행할 수 있습니다.
💡 쉬운 설명
권한이 있는 사용자가 특수하게 만들어진 파일을 업로드하면, 시스템이 이를 처리하는 과정에서 악성 명령어를 실행하게 되는 보안 결함입니다. 이를 통해 해커가 서버에 몰래 파일을 만들거나 시스템을 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
ILIAS before 9.24, 10.12, and 11.5 contains a PHP object injection vulnerability that allows authenticated users with Test creation or import permission to deserialize arbitrary objects via crafted Test archives. Attackers can inject a malicious tst_sequence sequence attribute that is passed to unserialize(), abusing Guzzle or Monolog gadget chains to write PHP files and execute code.
📍 영향받는 시스템
ILIAS 9.24 미만, 10.12 미만, 11.5 미만 버전
⚔️ 공격 벡터
권한을 가진 사용자가 조작된 테스트 아카이브 파일을 업로드하여 PHP 역직렬화 취약점 악용
🛡️ 대응 방법
ILIAS를 최신 보안 패치가 적용된 버전(9.24, 10.12, 11.5 이상의 최신 버전)으로 업데이트하십시오.
🔧 검증 코드
해당 명령어는 시스템 상태를 확인하는 용도이며, 실제 취약점 여부는 설치된 ILIAS의 버전을 확인하여 위 영향 범위에 해당하는지 대조해야 합니다.
php -r 'echo "ILIAS_VERSION_CHECK";' | grep -q "ILIAS_VERSION_CHECK" && echo "Check ILIAS version manually via web interface or package manager"