🇰🇷 한글 설명
WWBN AVideo 26.0 및 이전 버전에서 PHP 연산자 우선순위 오류로 인해 CLI 전용 접근 제어 로직이 무력화되는 취약점이 발견되었습니다. 이로 인해 공격자가 HTTP를 통해 인증 없이 해당 스크립트에 접근하여 서버의 임시 디렉토리 파일을 삭제하거나 내부 내용을 탈취할 수 있습니다.
💡 쉬운 설명
프로그램의 보안 검사 코드에 계산 순서 오류가 있어, 명령줄에서만 실행되어야 할 위험한 기능이 웹사이트를 통해 누구나 실행할 수 있는 상태입니다. 공격자는 이를 이용해 서버의 임시 파일을 지우거나 중요한 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions 26.0 and prior, the AVideo installation script install/deleteSystemdPrivate.php contains a PHP operator precedence bug in its CLI-only access guard. The script is intended to run exclusively from the command line, but the guard condition !php_sapi_name() === 'cli' never evaluates to true due to how PHP resolves operator precedence. The ! (logical NOT) operator binds more tightly than === (strict comparison), causing the expression to always evaluate to false, which means the die() statement never executes. As a result, the script is accessible via HTTP without authentication and will delete files from the server's temp directory while also disclosing the temp directory contents in its response. At time of publication, there are no publicly available patches.
📍 영향받는 시스템
WWBN AVideo 26.0 및 그 이전 모든 버전
⚔️ 공격 벡터
인증되지 않은 HTTP 요청을 통한 취약한 PHP 스크립트 호출
🛡️ 대응 방법
공식 패치가 출시될 때까지 해당 스크립트의 웹 접근을 차단하거나, PHP 연산자 우선순위를 수정한 패치를 적용해야 합니다.
🔧 검증 코드
명령어 결과로 HTTP 200 OK 응답이 반환되면 해당 스크립트에 웹을 통한 접근이 가능하므로 취약한 상태입니다.
curl -I -s http://<target_ip>/install/deleteSystemdPrivate.php | grep -E 'HTTP/1.1 200|HTTP/2 200'