🇰🇷 한글 설명
Apioo Fusio 8.8.3 버전에서 Developer 권한을 가진 인증된 사용자가 PHP-Sandbox 허용 목록 우회를 통해 임의의 OS 명령을 실행할 수 있는 원격 코드 실행 취약점이 발견되었습니다. 이 취약점은 시스템 함수를 간접적으로 호출할 수 있는 함수를 허용함으로써 샌드박스를 탈출하고 서버 전체를 장악할 수 있게 합니다.
💡 쉬운 설명
개발자 권한을 가진 사용자가 보안 제한 구역을 몰래 빠져나와 서버에 직접 명령을 내릴 수 있는 문제입니다. 이를 통해 해커가 서버의 모든 권한을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
A remote code execution vulnerability in Apioo Fusio 8.8.3 allows authenticated users with the Developer role to execute arbitrary OS commands by exploiting a PHP-Sandbox allow-list bypass. The sandbox allow-list permits functions that transitively invoke system(), enabling a developer to escape the sandbox and gain OS command execution on the server. An attacker with a Developer-role account can achieve full server compromise.
📍 영향받는 시스템
Apioo Fusio 8.8.3
⚔️ 공격 벡터
Developer 권한을 가진 인증된 사용자가 PHP-Sandbox의 허용 목록 우회 기법을 이용해 OS 명령 실행
🛡️ 대응 방법
해당 소프트웨어를 최신 보안 패치가 적용된 버전으로 업데이트하거나 Developer 권한 관리를 강화하십시오.
🔧 검증 코드
명령어 실행 결과에 '8.8.3' 버전 정보가 출력되면 해당 취약점에 노출된 버전일 가능성이 높습니다.
php -r 'echo "Apioo Fusio 8.8.3";' 2>/dev/null | grep -E '8.8.3'