🇰🇷 한글 설명
Kirby는 오픈소스 콘텐츠 관리 시스템입니다. 4.9.4 이전 버전 및 5.4.4 이전 5.x 버전에서, 사용자 계정이 설정되지 않은 공개 서버의 Kirby 사이트가 리버스 프록시 뒤에서 Forwarded, X-Client-IP, X-Real-IP 헤더를 설정하는 경우, 로컬 IP 검사가 이 헤더를 잘못 신뢰하여 원격 공격자가 Panel을 설치하고 최초 관리자 계정을 생성할 수 있습니다. 4.9.4 및 5.4.4 버전에서 수정되었습니다.
💡 쉬운 설명
사용자 계정이 아직 없는 Kirby 웹사이트가 프록시 서버 뒤에 있을 때, 외부 공격자가 내부 사용자인 것처럼 속여 관리자 계정을 만들 수 있습니다. 이를 통해 웹사이트 전체를 장악당할 수 있습니다.
🇺🇸 원문 (English)
Kirby is an open-source content management system. Prior to 4.9.4 and from 5.4.4, Kirby sites with no configured user accounts that run on publicly accessible servers behind a reverse proxy setting the Forwarded, X-Client-IP, or X-Real-IP request header could allow remote attackers to install the Panel and create the first admin user because local-IP checks trusted those headers incorrectly. This issue is fixed in versions 4.9.4 and 5.4.4.
📍 영향받는 시스템
Kirby CMS 4.9.4 미만 및 5.0~5.4.4 미만 버전으로, 리버스 프록시 뒤에 공개 배포되고 사용자 계정이 없는 사이트
⚔️ 공격 벡터
공격자가 Forwarded, X-Client-IP, X-Real-IP 헤더에 로컬 IP를 위조하여 전송하면 로컬 요청으로 간주되어 Panel 설치 및 최초 관리자 생성 절차가 실행됨
🛡️ 대응 방법
Kirby를 4.9.4 또는 5.4.4 이상으로 업그레이드하고, 설치 직후 Panel 설치 절차를 완료하거나 접근을 제한함
🔧 검증 코드
출력된 버전이 4.9.4 이상이거나 5.4.4 이상이면 패치된 것이며, 그보다 낮으면 취약합니다.
composer show getkirby/cms 2>/dev/null | grep -E '^versions'
💻 영향받는 소프트웨어
Multi-Domain Security Management Server