🇰🇷 한글 설명
Powermail 확장 프로그램의 특정 설정 필드에서 입력값 검증이 누락되어 발생하는 취약점입니다. 인증되지 않은 공격자가 폼 필드에 Fluid 템플릿 구문을 삽입하여 서버 설정, 환경 변수, 소스 코드를 탈취하거나 원격 코드 실행(RCE)을 수행할 수 있습니다. 현재 이 취약점은 실제 환경에서 활발히 악용되고 있는 것으로 보고되었습니다.
💡 쉬운 설명
웹사이트의 문의 양식에 특수한 명령어를 입력하면, 공격자가 서버의 중요한 정보를 훔치거나 서버를 마음대로 조종할 수 있는 보안 구멍입니다. 별도의 로그인 없이도 누구나 쉽게 공격할 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
The extension passes the raw value of a form field configured as "This field contains the name of the sender" directly into a Fluid View as template source, without any sanitization, and renders it. An anonymous, unauthenticated user can submit Fluid template syntax in that field to execute arbitrary Fluid ViewHelpers leading to disclosure of server configuration, environment variables and application source, and potentially remote code execution. Exploitation requires only that a form field is configured as the sender_name field, a common and default-adjacent Powermail configuration. No authentication or user interaction beyond a normal form submission is required. This vulnerability is reported to be actively exploited in the wild.
📍 영향받는 시스템
Powermail extension (sender_name 필드가 설정된 환경)
⚔️ 공격 벡터
인증되지 않은 사용자가 폼 필드(sender_name)에 Fluid 템플릿 구문을 삽입하여 전송
🛡️ 대응 방법
Powermail 확장 프로그램을 최신 보안 패치 버전으로 업데이트하고, 입력값에 대한 검증 로직을 적용해야 합니다.
🔧 검증 코드
출력된 Powermail의 버전을 확인하여 취약점이 해결된 최신 버전인지 대조합니다.
composer show powermail/powermail 2>/dev/null | grep -E 'versions'
💻 영향받는 소프트웨어
IBM WebSphere Application Server