🇰🇷 한글 설명
Chamilo LMS는 1.11.38 및 2.0.0-RC.3 이전 버전에서 파일 이동 기능의 OS 명령어 인젝션 취약점을 포함합니다. fileManage.lib.php의 move() 함수가 사용자 입력 경로를 escapeshellarg() 없이 exec()에 직접 전달하여, 교사 권한을 가진 인증된 사용자가 웹 서버 사용자(www-data) 권한으로 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자가 특정 방식으로 문서를 이동하면 서버에서 악성 명령을 실행할 수 있습니다. 서버 전체가 장악될 위험이 있으므로 즉시 업데이트가 필요합니다.
🇺🇸 원문 (English)
Chamilo LMS is a learning management system. Prior to 1.11.38 and 2.0.0-RC.3, Chamilo LMS contains an OS Command Injection vulnerability in the file move function. The move() function in fileManage.lib.php passes user-controlled path values directly into exec() shell commands without using escapeshellarg(). When a user moves a document via document.php, the move_to POST parameter — which only passes through Security::remove_XSS() (an HTML-only filter) — is concatenated directly into shell commands such as exec("mv $source $target"). By default, Chamilo allows all authenticated users to create courses (allow_users_to_create_courses = true). Any user who is a teacher in a course (including self-created courses) can move documents, making this vulnerability exploitable by any authenticated user. The attacker must first place a directory with shell metacharacters in its name on the filesystem (achievable via Course Backup Import), then move a document into that directory to trigger arbitrary command execution as the web server user (www-data). This vulnerability is fixed in 1.11.38 and 2.0.0-RC.3.
📍 영향받는 시스템
Chamilo LMS 1.11.38 미만 및 2.0.0-RC.3 미만 버전
⚔️ 공격 벡터
교사 권한 계정으로 로그인 후 셸 메타문자가 포함된 디렉터리를 생성하고 document.php의 move_to 파라미터로 문서를 해당 경로로 이동시켜 명령 실행
🛡️ 대응 방법
Chamilo LMS를 1.11.38 이상 또는 2.0.0-RC.3 이상으로 업그레이드하고, 신뢰할 수 없는 사용자의 강좌 생성 권한(allow_users_to_create_courses)을 비활성화하며, 강좌 백업 가져오기 기능을 제한합니다.
🔧 검증 코드
첫 번째 grep에서 exec 호출에 escapeshellarg가 없이 변수가 직접 연결되어 있으면 취약하며, 두 번째 결과의 버전이 1.11.38 미만(또는 2.0.0-RC.3 미만)이면 패치가 필요합니다.
grep -rn "exec(\"mv" /var/www/html/main/inc/lib/fileManage.lib.php 2>/dev/null; grep -i version /var/www/html/main/inc/lib/main_api.lib.php 2>/dev/null | head -1
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
Multi-Domain Security Management Server