🇰🇷 한글 설명
FileRun 2026.2.0 이하 버전에서 인증된 공격자가 악성 파일명을 포함한 파일을 업로드하여 OS 명령 주입을 수행할 수 있는 취약점이 발견되었습니다. 썸네일 생성 시스템이 파일명을 적절한 이스케이프 처리 없이 exec() 함수로 전달하기 때문에, 공격자는 원격 코드 실행(RCE) 권한을 획득할 수 있습니다.
💡 쉬운 설명
파일 이름을 특수 기호가 포함된 명령어로 만들어서 업로드하면, 서버가 사진 미리보기를 만드는 과정에서 그 명령어를 실행해 버리는 문제입니다. 이를 통해 해커가 서버를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
FileRun up to and including version 2026.2.0 contains an OS command injection vulnerability that allows authenticated attackers to achieve remote code execution by uploading a file with a malicious filename containing shell command substitution sequences. The thumbnail generation system passes filenames wrapped in shell double-quotes directly to exec() without escapeshellarg() sanitization, allowing filenames such as $(PAYLOAD).mp4 to survive the filename sanitizer and be evaluated as shell commands when ffmpeg, ImageMagick, vips, or stl-thumb processes the file during thumbnail generation.
📍 영향받는 시스템
FileRun 2026.2.0 및 그 이전의 모든 버전
⚔️ 공격 벡터
인증된 사용자가 쉘 명령어가 포함된 악성 파일명을 가진 파일을 업로드하여 썸네일 생성 프로세스를 유도함
🛡️ 대응 방법
FileRun을 최신 보안 패치가 적용된 버전으로 업데이트하고 파일명 검증 로직을 강화함
🔧 검증 코드
출력된 버전 정보가 2026.2.0 이하인지 확인하여 취약 여부를 판단함
curl -s http://<target_ip>/version.php | grep -E '2026\[0-2]\.[0-9]+'