🇰🇷 한글 설명
Froxlor 서버 관리 소프트웨어의 특정 API 명령어가 데이터베이스 행을 반환할 때 비밀번호 해시와 2FA TOTP 시드를 제거하지 않고 그대로 노출하는 취약점입니다. 인증된 공격자가 이 API를 호출하면 관리자 및 고객의 비밀번호 해시와 2단계 인증 정보를 탈취할 수 있습니다. 이 취약점은 버전 2.3.8에서 수정되었습니다.
💡 쉬운 설명
서버 관리 프로그램의 API가 비밀번호와 보안 인증 정보를 필터링 없이 그대로 보여주는 실수입니다. 이를 통해 해커가 비밀번호를 알아내거나 2단계 인증을 무력화하여 계정을 탈취할 수 있습니다.
🇺🇸 원문 (English)
Froxlor is open source server administration software. From 2.3.7 until 2.3.8, the Customers.get, Customers.listing, Admins.get, Admins.listing, Ftps.get, and Ftps.listing API commands in lib/Froxlor/Api/Commands/Customers.php, lib/Froxlor/Api/Commands/Admins.php, and lib/Froxlor/Api/Commands/Ftps.php retrieve full database rows and return them without removing password and data_2fa fields. An authenticated API caller with permission to use these endpoints can obtain customer, administrator, and FTP password hashes as well as Base32-encoded TOTP seeds for administrator and customer accounts. Password hashes can be cracked offline, and TOTP seeds can generate valid second-factor codes until two-factor authentication is reset. Exposure of both values for an account can enable takeover of the hosting panel or hosted resources and can defeat both authentication factors. This issue is fixed in version 2.3.8.
📍 영향받는 시스템
Froxlor 버전 2.3.7 미만 (2.3.8 미만 버전 포함)
⚔️ 공격 벡터
권한을 가진 인증된 사용자가 특정 API 엔드포인트를 호출하여 민감한 데이터를 탈취
🛡️ 대응 방법
Froxlor를 최신 버전인 2.3.8 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
설치된 Froxlor의 버전을 확인하여 2.3.8 미만인지 확인하십시오.
php -r 'echo "Froxlor Version Check";' && grep -r "version" /path/to/froxlor/version.php 2>/dev/null || echo "Check version manually in Froxlor settings"