🇰🇷 한글 설명
Softaculous Virtualizor의 결제 모듈 핸들러에서 인증 우회 취약점이 발견되었습니다. 공격자가 조작된 매개변수를 사용하여 인증 없이 관리자 패널에 접근함으로써 임의의 테넌트 계정 잔액을 수정할 수 있습니다. 이를 통해 특정 계정의 잔액을 조작하거나 서비스가 자동으로 정지되도록 유도할 수 있습니다.
💡 쉬운 설명
해커가 로그인하지 않고도 관리자 권한을 흉내 내어 사용자의 결제 금액을 마음대로 바꿀 수 있는 보안 구멍입니다. 이로 인해 사용자의 잔액이 0원이 되어 서비스가 갑자기 끊기는 피해가 발생할 수 있습니다.
🇺🇸 원문 (English)
Softaculous Virtualizor before 3.2.9 (Patch 9) and 3.0.0 contains an authorization bypass vulnerability in the billing module handler that allows unauthenticated remote attackers to modify any tenant's account balance by supplying crafted act and from_billing_module parameters to the admin panel dispatcher. Attackers can send a POST request with arbitrary uid and balance values in the billing_data field to trigger an unauthenticated parameterized UPDATE against the users table, enabling account balance manipulation and potential automated service suspension for targeted accounts.
📍 영향받는 시스템
Softaculous Virtualizor 3.2.9 (Patch 9) 미만 및 3.0.0 버전
⚔️ 공격 벡터
관리자 패널 디스패처에 조작된 act 및 from_billing_module 매개변수를 포함한 POST 요청 전송
🛡️ 대응 방법
Softaculous Virtualizor를 최신 패치 버전(3.2.9 Patch 9 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 패키지 버전을 확인하여 3.2.9 (Patch 9) 이상인지 또는 3.0.0 버전인지 확인하십시오.
rpm -q virtualizor 2>/dev/null || dpkg -l | grep virtualizor
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
💻 영향받는 소프트웨어
Windows iSCSI Target Service