🇰🇷 한글 설명
MISP의 JsonLogTool에서 사이트 관리자가 NDJSON 오류 로그의 파일 경로를 임의로 설정할 수 있는 취약점이 발견되었습니다. 인증된 관리자가 로그 출력 경로를 웹 접근이 가능한 PHP 파일로 지정하고 로그 데이터에 PHP 코드를 주입함으로써 원격 코드 실행(RCE)을 수행할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 공격자가 로그 파일이 저장되는 위치를 조작하여 악성 코드를 실행할 수 있는 보안 결함입니다. 이를 통해 해커가 웹 서버의 권한을 탈취하고 서버를 제어할 수 있습니다.
🇺🇸 원문 (English)
MISP allowed a site administrator to configure an arbitrary filesystem path for the NDJSON error log used by JsonLogTool. Because log entries can include attacker-controlled content, an authenticated attacker with site administrator privileges could direct log output to a PHP file in a web-accessible directory and inject PHP code through logged data. Accessing the resulting file could lead to remote code execution with the privileges of the web server process.
The fix restricts log destinations to existing directories beneath APP/tmp/logs or /var/log, requires absolute paths, rejects stream wrappers and traversal-related input, and limits filenames to .log or .ndjson extensions while disallowing executable extension segments.
📍 영향받는 시스템
MISP (JsonLogTool을 사용하는 버전)
⚔️ 공격 벡터
인증된 사이트 관리자가 로그 경로를 웹 디렉토리 내 PHP 파일로 설정하고 로그 데이터에 악성 코드를 주입
🛡️ 대응 방법
로그 저장 경로를 지정된 디렉토리(APP/tmp/logs 또는 /var/log)로 제한하고 파일 확장자를 .log 또는 .ndjson으로 강제하는 패치 적용
🔧 검증 코드
코드 내에서 로그 경로 설정 로직이 특정 디렉토리로 제한되어 있는지 확인하여 패치 여부를 판단합니다.
grep -r "JsonLogTool" /path/to/misp/app/ | grep "log_path_configuration_logic"