🇰🇷 한글 설명
phpBB 3.3.16 이전 버전에서 force_server_vars가 비활성화되었을 때 HTTP Host 헤더에서 서버 호스트명을 추출하여 비밀번호 재설정 링크를 생성합니다. 공격자가 Host 헤더를 조작하면 비밀번호 재설정 이메일의 링크가 공격자가 제어하는 도메인으로 지정되어 계정 탈취로 이어질 수 있습니다.
💡 쉬운 설명
phpBB 포럼에서 공격자가 비밀번호 재설정 이메일의 링크를 자신의 웹사이트로 바꿀 수 있는 문제입니다. 사용자가 그 링크를 클릭하면 공격자에게 비밀번호를 입력하게 되어 계정이 탈취될 수 있습니다.
🇺🇸 원문 (English)
phpBB before 3.3.16 is vulnerable to Host Header Injection that can lead to password rest link poisoning. When force_server_vars is disabled, the servers hostname may be extracted from the HTTP Host header which is used to generate the password reset link URL. An attacker who can manipulate the Host header (e.g. through misconfigured host setup or missing header validation by the webserver) can cause password reset emails to contain a link pointing to an attacker-controlled domain, potentially leading to account takeover.
📍 영향받는 시스템
phpBB 3.3.16 이전 버전 (force_server_vars 비활성화된 경우)
⚔️ 공격 벡터
HTTP Host 헤더 조작을 통한 비밀번호 재설정 링크 변조
🛡️ 대응 방법
phpBB를 3.3.16 이상으로 업그레이드하거나 config.php에서 force_server_vars를 활성화
🔧 검증 코드
출력된 phpBB 버전이 3.3.16 이상이면 안전, 그 미만이면 취약하므로 즉시 업그레이드 필요
find /var/www -type f -name common.php 2>/dev/null | xargs grep phpbb_version 2>/dev/null | head -1