🇰🇷 한글 설명
Concrete CMS 9.5.0 이하의 ExpressEntryList 블록 컨트롤러에서 불안전한 역직렬화로 인한 원격 코드 실행 취약점입니다. 관리자 권한을 가진 공격자가 REST API를 통해 보호 메커니즘(_fromCIF)을 우회하여 악성 직렬화 페이로드를 데이터베이스에 주입할 수 있습니다. 관리자가 해당 블록을 보거나 편집할 때 페이로드가 실행되어 완전한 서버 탈취로 이어집니다.
💡 쉬운 설명
Concrete CMS 관리도구의 특정 블록 기능에서 악의적인 코드를 심을 수 있는 보안 허점이 있습니다. 관리자가 그 블록을 편집할 때 심어진 코드가 실행되어 서버 전체가 장악될 수 있습니다.
🇺🇸 원문 (English)
Concrete CMS 9.5.0 and below is vulnerable to Remote Code Execution due to insecure deserialization occurring in the ExpressEntryList block controller. An rogue administrator with privileges to add blocks to an area can bypass the intended protection mechanism (_fromCIF === true), which normally restricts malicious inputs over form POST requests, by leveraging the REST API functionality. Because the REST API parses requests using json_decode(), the string "true" is evaluated as a strict PHP Boolean(true). This bypass allows the attacker to inject a malicious serialized payload into the block's filterFields database column. The payload will subsequently be executed when the block's data is viewed or edited by an administrator leading to complete server takeover (RCE).The Concrete CMS security team gave this vulnerability a CVSS v.4.0 score of 8.9 with a vector of CVSS:4.0/AV:N/AC:H/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. Thanks Nguyễn Văn Thiện https://github.com/Thien225409 for reporting
📍 영향받는 시스템
Concrete CMS 9.5.0 및 이하 모든 버전
⚔️ 공격 벡터
관리자 권한을 보유한 공격자가 REST API json_decode() 기능을 악용하여 보호 메커니즘을 우회하고 직렬화된 악성 페이로드를 주입
🛡️ 대응 방법
Concrete CMS를 9.5.1 이상의 최신 버전으로 즉시 업그레이드하고 불필요한 관리자 권한 사용자를 제거
🔧 검증 코드
명령어 결과에서 9.0~9.5 버전이 보이면 취약 상태이며, 9.5.1 이상이거나 파일이 없으면 안전함
grep -oE 'version.*9\.[0-5]' /var/www/html/concrete/config/version.php 2>/dev/null || find /var/www -name version.php -path '*/concrete/*' 2>/dev/null | xargs grep VERSION | head -1