🇰🇷 한글 설명
Adminer 5.4.3 미만 버전에서 SQLite 쿼리 처리 중 원격 코드 실행 취약점이 발견되었습니다. 인증된 공격자가 ATTACH 제한을 우회하여 VACUUM INTO 명령을 실행함으로써 임의의 경로에 PHP 코드를 작성하고 서버 명령을 실행할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 데이터베이스 명령을 이용해 서버에 몰래 악성 프로그램을 심을 수 있는 문제입니다. 이를 통해 공격자는 서버를 마음대로 조종할 수 있게 됩니다.
🇺🇸 원문 (English)
Adminer before 5.4.3 contains a remote code execution vulnerability in SQLite query handling where VACUUM INTO is not blocked despite ATTACH restrictions. Authenticated attackers can execute VACUUM INTO to write PHP code to arbitrary file paths and execute commands on the server.
📍 영향받는 시스템
Adminer 5.4.3 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 SQLite의 VACUUM INTO 명령을 사용하여 임의 파일 경로에 PHP 코드를 주입
🛡️ 대응 방법
Adminer를 최신 버전인 5.4.3 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 Adminer의 버전이 5.4.3 미만인지 확인하십시오.
php -r 'echo "Adminer version check required";' && composer show adminer 2>/dev/null | grep 'versions'