🇰🇷 한글 설명
9.5.3 미만 버전의 Concrete CMS에서 Workflow, Form block, File/Set 컴포넌트의 unserialize() 호출 시 allowed_classes 제한이 누락되어 PHP 객체 주입 취약점이 발생합니다. 공격자가 데이터베이스에 악성 직렬화 페이로드를 삽입할 수 있다면 인증되지 않은 공격자라도 임의의 PHP 객체를 생성할 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 기능이 데이터를 처리하는 과정에서 검증되지 않은 명령어를 실행할 수 있는 보안 약점이 발견되었습니다. 해커가 데이터베이스에 조작된 데이터를 넣으면 웹사이트의 제어권을 뺏길 위험이 있습니다.
🇺🇸 원문 (English)
Concrete CMS below 9.5.3 is vulnerable to PHP Object Injection via unserialize()
calls in the Workflow, Form block, and File/Set components that lack the
allowed_classes restriction. The Form block and File/Set sinks were addressed in
9.5.2; the Workflow component sinks were addressed in 9.5.3. An unauthenticated
attacker may trigger arbitrary PHP object instantiation if a malicious serialized
payload has been placed in the database. Thanks XananasX7 and Sanjorn Keeratirungsan
(dizconnect) for independently reporting the original components, and sh4d0byss for
reporting the Workflow component wasn't fixed in 9.5.2. The Concrete CMS security team gave this
vulnerability a CVSS v.4.0 score of 8.4 with vector CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/
VC:H/VI:H/VA:H/SC:N/SI:N/SA:N.
📍 영향받는 시스템
Concrete CMS 9.5.3 미만 버전
⚔️ 공격 벡터
데이터베이스에 삽입된 악성 직렬화 페이로드를 통한 PHP 객체 주입
🛡️ 대응 방법
Concrete CMS를 최신 보안 패치가 적용된 9.5.3 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 9.5.3 미만인지 확인하십시오.
composer show concrete/concrete5core | grep 'versions'