🇰🇷 한글 설명
Adminer 5.5.0 미만 버전의 로그인 양식 서버 필드 검증기에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 포트 번호 검증 로직의 허점을 이용해 PDO DSN 키를 주입함으로써 권한이 제한된 포트 제한을 우회하고 내부 네트워크의 임의 호스트에 TCP 연결을 시도할 수 있습니다.
💡 쉬운 설명
로그인 화면의 입력값 검사 오류를 이용해 공격자가 관리자 몰래 내부 네트워크의 다른 컴퓨터에 접속을 시도할 수 있는 문제입니다. 이를 통해 보안이 설정된 내부 서버의 정보를 탈취하거나 공격의 발판으로 삼을 수 있습니다.
🇺🇸 원문 (English)
Adminer before 5.5.0 contains a server-side request forgery vulnerability in the login form's server field validator, which only inspects leading integers for privileged ports and fails to reject non-numeric port values. Attackers can inject PDO DSN keys like host= and port= into the server parameter to bypass the privileged-port restriction and establish TCP connections to arbitrary internal hosts and ports before authentication.
📍 영향받는 시스템
Adminer version < 5.5.0
⚔️ 공격 벡터
로그인 양식의 server 파라미터에 PDO DSN 키(host=, port= 등)를 주입하여 검증 우회 및 SSRF 수행
🛡️ 대응 방법
Adminer를 최신 버전인 5.5.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 5.5.0 미만이면 취약한 상태이며, 5.5.0 이상이면 안전합니다.
php -r 'include "adminer.php"; echo "Version: " . ADMINER_VERSION . PHP_EOL;" 2>/dev/null || echo "Adminer not found or version inaccessible"