🇰🇷 한글 설명
Medilazar Core의 PHP include/require 문에서 파일명 입력값을 부적절하게 검증하는 취약점으로, 공격자가 임의의 파일을 포함하도록 조작할 수 있습니다. 이를 통해 로컬 파일 접근이나 원격 파일 포함 공격이 가능하며, 민감한 정보 유출 또는 코드 실행으로 이어질 수 있습니다.
💡 쉬운 설명
웹사이트가 사용자의 입력을 제대로 검증하지 않아서, 공격자가 실수로 민감한 파일을 읽게 할 수 있는 문제입니다. 이를 통해 시스템 설정 파일이나 데이터베이스 정보 같은 중요한 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in themelexus Medilazar Core medilazar-core allows PHP Local File Inclusion.This issue affects Medilazar Core: from n/a through < 1.4.7.
📍 영향받는 시스템
themelexus Medilazar Core 1.4.7 미만의 모든 버전
⚔️ 공격 벡터
PHP include/require 함수에 전달되는 파일 경로 매개변수를 조작하여 임의의 로컬 또는 원격 파일 포함
🛡️ 대응 방법
Medilazar Core를 1.4.7 이상으로 업그레이드하고, 파일 포함 작업에 대한 엄격한 입력 검증 및 화이트리스트 구현
🔧 검증 코드
버전이 1.4.7 미만이거나 파일이 발견된 경우 즉시 업그레이드 필요; 명령어가 결과를 반환하지 않으면 해당 패키지가 설치되지 않음을 의미합니다.
find /var/www/html -type f -path '*medilazar-core*' -exec grep -H 'Version' {} + 2>/dev/null | grep -oE 'Version[:"]\s*[0-9.]+' | head -1