🇰🇷 한글 설명
Koha의 특정 버전에서 발생하는 저장형 SQL 인젝션 취약점으로, 'items_batchmod' 권한을 가진 인증된 직원이 자동 항목 수정 규칙의 agefield 값에 SQL 페이로드를 삽입하여 임의의 데이터베이스 내용을 읽을 수 있습니다. 이 취약점은 cron 작업 실행 시 매개변수화되지 않은 쿼리가 실행되면서 발생하며, 이용자는 이용자 개인정보 및 직원 비밀번호 해시를 포함한 전체 데이터베이스를 탈취할 수 있습니다.
💡 쉬운 설명
권한을 가진 직원이 시스템 설정값에 악성 코드를 숨겨두면, 시스템이 자동으로 작업을 수행하는 과정에서 이 코드가 실행되어 데이터베이스의 중요한 정보를 몰래 빼낼 수 있는 문제입니다. 이를 통해 사용자의 개인정보나 관리자의 비밀번호 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
A stored SQL injection vulnerability in Koha through 24.11.17, 25.05.12, 25.11.06, and 26.05.01 allows authenticated staff with the tools => items_batchmod permission to read arbitrary database contents by storing a SQL payload in the agefield value of an automatic item modification rule. The agefield value is stored verbatim to the system preference and later interpolated without parameterization into a SQL query in C4::Items::ToggleNewStatus (line 1228) when the scheduled cron job executes. The injection is SELECT-only under standard MariaDB/MySQL DBI single-statement execution; a time-based SLEEP payload is also achievable via the cron trigger. An attacker can read the entire Koha database including patron PII and staff bcrypt password hashes.
📍 영향받는 시스템
Koha 24.11.17, 25.05.12, 25.11.06, 26.05.01 미만 버전
⚔️ 공격 벡터
인증된 직원이 자동 항목 수정 규칙의 agefield 필드에 SQL 페이로드를 저장하여 cron 작업 실행 시 트리거
🛡️ 대응 방법
Koha를 최신 보안 패치가 적용된 버전으로 업데이트하고, 'items_batchmod' 권한 관리를 강화하십시오.
🔧 검증 코드
출력된 결과에 취약한 버전 번호가 포함되어 있다면 해당 시스템은 보안 업데이트가 필요합니다.
koha-version | grep -E '24.11.17|25.05.12|25.11.06|26.05.01'