🇰🇷 한글 설명
Froxlor 2.3.7 미만 버전의 Mysqls.add API 명령에서 mysql_server 매개변수가 고객의 허용된 서버 목록(allowlist)을 검증하지 못하는 취약점이 존재합니다. 공격자는 허용되지 않은 서버 인덱스를 입력하여 금지된 서버에 MySQL 데이터베이스와 사용자를 생성함으로써 고객별 접근 제어를 우회할 수 있습니다.
💡 쉬운 설명
사용자가 허락된 서버에서만 데이터베이스를 만들 수 있어야 하는데, 이 규칙을 확인하지 않는 허점이 발견되었습니다. 이를 통해 공격자는 권한이 없는 다른 서버에 몰래 데이터베이스를 만들 수 있습니다.
🇺🇸 원문 (English)
Froxlor before 2.3.7 fails to validate the mysql_server parameter against a customer's allowed_mysqlserver allowlist in the Mysqls.add API command. Attackers can supply a disallowed server index to create MySQL databases and users on forbidden servers, bypassing per-customer access controls.
📍 영향받는 시스템
Froxlor version < 2.3.7
⚔️ 공격 벡터
Mysqls.add API 명령을 통해 허용되지 않은 mysql_server 인덱스 값을 전달하는 방식
🛡️ 대응 방법
Froxlor를 최신 버전인 2.3.7 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 Froxlor의 버전이 2.3.7 미만인지 확인하여 취약 여부를 판단합니다.
php -r "echo 'Froxlor version check required';" && grep -r "version" /path/to/froxlor/ | grep -E '[0-1]\.[0-9]\.[0-9]'