🇰🇷 한글 설명
Vtiger CRM 8.4.0 이하 버전의 관리자 모듈 가져오기 기능에서 인증된 원격 코드 실행 취약점이 발견되었습니다. 공격자가 조작된 ZIP 파일을 업로드하면 modules/ 디렉토리에 임의의 PHP 파일이 압축 해제되어 웹쉘을 생성할 수 있습니다. 이는 인증 및 권한 부여 계층을 우회하여 시스템에 지속적인 접근을 허용합니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 악성 파일이 담긴 압축 파일을 올리면 서버에 해킹 도구가 설치되는 문제입니다. 설치된 해킹 도구는 로그인 없이도 서버를 마음대로 조종할 수 있게 만듭니다.
🇺🇸 원문 (English)
Vtiger CRM through 8.4.0 contains an authenticated remote code execution vulnerability in the admin module import feature that allows administrator-level attackers to upload arbitrary PHP files by submitting a crafted zip archive through the ModuleManager import function, which extracts contents directly into the modules/ directory under the web root without validating file types beyond the manifest.xml descriptor. Attackers can place executable PHP files in the modules/ directory that become directly accessible via HTTP, bypassing Vtiger's authentication and authorization layer entirely since Apache resolves the path and invokes the PHP interpreter before the application routing layer is involved, resulting in a persistent web shell independent of the originating session.
📍 영향받는 시스템
Vtiger CRM 8.4.0 및 그 이전 버전
⚔️ 공격 벡터
관리자 권한을 이용한 ModuleManager의 ZIP 파일 업로드 및 압축 해제 취약점 악용
🛡️ 대응 방법
Vtiger CRM을 최신 보안 패치가 적용된 버전으로 업데이트하거나, modules/ 디렉토리에 대한 직접적인 쓰기 권한을 제한하십시오.
🔧 검증 코드
명령어 실행 시 HTTP 응답이 오거나 특정 파일이 존재하면 취약한 상태이며, 404 에러 등이 발생하면 안전한 상태입니다.
curl -s http://<target_ip>/modules/test_shell.php && echo 'Vulnerable' || echo 'Not Vulnerable'