🇰🇷 한글 설명
MaxSite CMS에서 인증되지 않은 공격자가 maxsite_comuser 쿠키를 통해 조작된 직렬화 데이터를 전달하여 임의의 코드를 실행할 수 있는 PHP 객체 주입 취약점이 발견되었습니다. 공격자는 검증되지 않은 unserialize() 함수를 악용하여 SoapClient 또는 Imagick와 같은 가젯 체인을 통해 원격 코드 실행(RCE)을 수행할 수 있습니다.
💡 쉬운 설명
해커가 특수하게 조작된 데이터를 쿠키에 담아 보내면, 웹사이트가 이를 잘못 처리하여 해커의 명령을 그대로 실행하게 되는 보안 결함입니다. 이를 통해 공격자는 서버의 제어권을 완전히 탈취할 수 있습니다.
🇺🇸 원문 (English)
MaxSite CMS contains a PHP object injection vulnerability that allows unauthenticated attackers to execute arbitrary code by passing attacker-controlled serialized data in the maxsite_comuser cookie directly to unserialize() without validation or class allowlisting. Attackers can craft a malicious serialized PHP object payload delivered in a single HTTP request to trigger magic methods during object graph reconstruction, enabling property-oriented programming attacks or remote code execution via available gadget chains such as those targeting SoapClient or Imagick extensions.
📍 영향받는 시스템
MaxSite CMS (버전 미지정)
⚔️ 공격 벡터
HTTP 요청의 maxsite_comuser 쿠키에 악성 직렬화된 PHP 객체 페이로드를 삽입하여 전송
🛡️ 대응 방법
unserialize() 함수 사용을 지양하고, 입력 데이터에 대한 엄격한 검증 및 클래스 허용 목록(allowlisting)을 적용하거나 최신 보안 패치를 적용하십시오.
🔧 검증 코드
쿠키를 포함한 요청 시 서버 응답에서 비정상적인 오류나 객체 주입 관련 로그가 발생하는지 확인합니다.
curl -I -b 'maxsite_comuser=O:8:"StdClass":0:{}' http://<target_ip>/