🇰🇷 한글 설명
opensource-socialnetwork 9.11/10.1 이하 버전의 Cache Settings 구성 요소 내 dynamic.php 파일에서 코드 주입 취약점이 발견되었습니다. 공격자가 host, port, username 등 특정 인자를 조작하여 원격으로 악성 코드를 실행할 수 있으며, 이미 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
웹사이트 설정값 중 일부를 조작하여 해커가 서버에 몰래 명령을 내릴 수 있는 보안 구멍이 발견되었습니다. 해커가 원격에서 사이트를 조종할 수 있으므로 주의가 필요합니다.
🇺🇸 원문 (English)
A security flaw has been discovered in opensource-socialnetwork up to 9.11/10.1. This affects the function input of the file actions/administrator/cache/dynamic.php of the component Cache Settings. Performing a manipulation of the argument host/port/username/password/type/status results in code injection. The attack can be initiated remotely. The exploit has been released to the public and may be used for attacks. The patch is named 40945057cb451f0f35153110bc7e889c094400e1. Applying a patch is the recommended action to fix this issue. The vendor explains: "While we have implemented this patch as a defense-in-depth measure, we emphasize that in Open Source Social Network (OSSN), site administrators are fully trusted users who are intentionally granted broad system authority by design including the native ability to upload custom components/themes containing arbitrary PHP code."
📍 영향받는 시스템
opensource-socialnetwork 버전 9.11 이하 및 10.1 이하
⚔️ 공격 벡터
원격에서 Cache Settings의 특정 인자(host/port/username/password/type/status)를 조작하여 코드 주입
🛡️ 대응 방법
제공된 패치(40945057cb451f0f35153110bc7e889c094400e1)를 적용하여 보안 업데이트 수행
🔧 검증 코드
명령어 결과로 출력되는 파일 경로가 취약한 구성 요소의 경로와 일치하는지 확인
find /var/www/html -name 'dynamic.php' | xargs grep -l 'Cache Settings'