🇰🇷 한글 설명
Xibo는 웹 기반 CMS와 Windows 디스플레이 플레이어를 포함한 오픈소스 디지털 사이니지 플랫폼입니다. 버전 1.7부터 4.4.0까지 CMS의 DataSet 필터링 API 라우트에 SQL 인젝션 취약점이 존재하며, 인증된 사용자가 API filter 파라미터에 조작된 값을 주입해 데이터베이스의 임의 데이터를 조회하거나 변경할 수 있습니다.
💡 쉬운 설명
Xibo 디지털 사이니지 관리 시스템의 일부 기능에 결함이 있어, 로그인한 사용자가 특정 입력을 조작해 데이터베이스 내용을 훔치거나 바꿀 수 있습니다. 4.4.1 이상으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
Xibo is an open source digital signage platform with a web content management system and Windows display player software. Versions 1.7 through 4.4.0 have an SQL injection vulnerability in the API routes inside the CMS responsible for Filtering DataSets. This allows an authenticated user to to obtain and modify arbitrary data from the Xibo database by injecting specially crafted values in to the API filter parameter. Exploitation of the vulnerability is possible on behalf of an authorized user who has either of the `Access to DataSet Feature` privilege or the `Access to the Layout Feature` privilege. Users should upgrade to version 4.4.1 which fixes this issue. Customers who host their CMS with Xibo Signage have been patched if they are using 4.4, 4.3, 3.3, 2.3 or 1.8. Upgrading to a fixed version is necessary to remediate. Patches are available for earlier versions of Xibo CMS that are out of support, namely 3.3, 2.3, and 1.8.
📍 영향받는 시스템
Xibo CMS 1.7 ~ 4.4.0 (4.4.1 미만 전체), 단 Xibo Signage 호스팅 고객은 4.4, 4.3, 3.3, 2.3, 1.8에서 패치 완료
⚔️ 공격 벡터
DataSet 기능 또는 Layout 기능 접근 권한을 가진 인증된 사용자가 API filter 파라미터에 조작된 SQL 구문을 주입
🛡️ 대응 방법
Xibo CMS를 4.4.1 이상으로 업그레이드하고, 지원 종료 버전(3.3, 2.3, 1.8)은 해당 패치를 적용
🔧 검증 코드
출력된 Xibo 버전 문자열을 확인해 4.4.1 미만(1.7~4.4.0)이면 취약하며, 4.4.1 이상이거나 패치된 버전(4.4, 4.3 Signage 호스팅 등)이면 조치가 완료된 것입니다.
mysql -e "SELECT @@version;" 2>/dev/null; grep -ri 'version' /var/www/xibo/web/index.php 2>/dev/null | head -1; find / -name 'version.php' -path '*xibo*' 2>/dev/null | head -1 | xargs grep -i 'version' 2>/dev/null