원격 코드 실행까지 가능하게 하는 취약점이 PHP퓨전에서 발견됐다. 문제는 아직 패치가 개발되지 않았다는 것이다. PHP퓨전을 사용하고 있다면 아직 안전해질 방법이 없는 상태라는 것을 인지하고 있어야 한다.
[보안뉴스 문가용 기자] 오픈소스 콘텐츠 관리 시스템인 PHP퓨전(PHPFusion)에서 초고위험도 취약점이 발견됐다. 로컬 파일 인클루전(Local File Inclusion, LFI)이라고 불리는 유형의 취약점으로 CVE-2023-2453이라는 관리 번호가 부여됐다. 익스플로잇에 성공한 공격자는 악성 .php 파일을 피해자 컴퓨터의 특정 경로에 업로드 함으로써 원격 코드 실행 공격을 성공시킬 수 있게 된다.
이 취약점을 발견한 건 보안 업체 시놉시스(Synopsys)다. 이것과 함께 중간 위험도 취약점인 CVE-2023-4480도 찾아냈다. 이 취약점을 익스플로잇 하는 데 성공할 경우 공격자들은 피해자 시스템의 파일 내용을 열람할 수도 있게 되고, 임의 장소에 파일을 만들 수도 있게 된다. 이 두 가지 취약점은 PHP퓨전 9.10.30 및 이전 버전들에 존재한다. 아직까지 패치는 나오지 않았다.
패치는 아직 불가능
이 두 가지 취약점을 찾아내고 공개한 시놉시스는 “공개 전 PHP퓨전 관리자 측에 연락을 여러 번 취했다”고 한다. “이메일도 보내고, 취약점 제보 채널을 통해 연락도 하고, 깃허브에서도 메시지를 보냈습니다. 인터넷 사용자들이 많은 커뮤니티에서도 연락을 시도했습니다. 하지만 아직까지 한 번도 연락이 닿은 적이 없습니다.”
PHP퓨전은 오픈소스 콘텐츠 관리 시스템으로, 2003년 처음 등장해 현재까지 사용되고 있다. 워드프레스나 드루팔, 줌라와 같은 유명세를 타지는 못했고, 따라서 아는 사람도 상대적으로 적다. 그럼에도 현재 PHP퓨전을 활용하고 있는 웹사이트는 1500만 개에 달한다. 특히 중소기업들이 온라인 포럼을 구축할 때 PHP퓨전을 자주 활용한다.
시놉시스에 의하면 CVE-2023-2453은 “어떤 조건이 성립되면 파일 점검을 제대로 하지 않아서 발동되는 취약점”이라고 한다. 이를 이용할 경우 공격자들은 임의의 .php 파일을 업로드 한 후 실행시킬 수 있게 된다는 게 시놉시스의 설명이다.
익스플로잇 성립 조건
“이 취약점을 익스플로잇 할 때 필요한 조건은 두 가지입니다.” 시놉시스의 소프트웨어 엔지니어인 매튜 호그(Matthew Hogg)의 설명이다. “제일 먼저 공격자는 권한이 거의 없는 계정이라 하더라도 인증 과정을 한 번은 통과해야 합니다. 그 다음으로 공격자는 취약한 엔드포인트가 어디에 있는지 알고 있어야 합니다. 두 가지를 다 성공하면 취약점 익스플로잇을 할 수 있게 됩니다.”
시놉시스의 취약점 관리 엔지니어인 벤 로날로(Ben Ronallo)는 “실제 취약점 익스플로잇 행위는 악의적으로 제작된 .php 페이로드를 피해자의 시스템 어딘가에 업로드시키는 것”이라며, “앞서 설명된 두 가지 조건을 성립시키는 것 자체가 익스플로잇 행위는 아니”라고 강조한다. “즉, 두 가지 조건을 만족시키는 건 기본 준비를 완료하는 것이고, 그 다음으로도 공격자는 페이로드를 만들고, 만든 페이로드를 업로드시키는 방법을 찾아내야 한다는 겁니다.”
여기까지 성공했다면 공격자는 여러 가지 악성 행위를 실시할 수 있게 된다. 다만 익스플로잇을 통해 침투한 시스템의 주인이(즉 피해자가) 어떤 권한을 가지고 있느냐에 따라 달라진다. “관리자 권한을 가진 시스템을 익스플로잇 했다면 임의의 파일을 열람하고, 원격 코드 실행 공격까지 이어갈 수 있습니다. 그렇다는 건 민감한 정보가 유출될 수도 있고, 서버를 공격자가 제어할 수도 있게 된다는 소리입니다.”
한편 CVE-2023-4480은 PHP퓨전의 파일 관리자 기능을 구성하는 디펜던시들 중 하나가 지원 만료되면서 생겨난 문제다. 관리자 권한을 얻어내는 데 성공한 공격자라면 파일의 콘텐츠를 노출시키거나 특정 파일을 서버의 파일 시스템에 작성할 수 있게 된다고 한다.
3줄 요약
1. PHP퓨전에서 두 가지 취약점 발견됨.
2. 하나는 초고위험도, 하나는 중간 위험도.
3. 초고위험도 취약점을 익스플로잇 하면 피해자의 권한에 따라 서버 장악까지 가능.
[국제부 문가용 기자(globoan@boannews.com)]
[보안뉴스 문가용 기자] 오픈소스 콘텐츠 관리 시스템인 PHP퓨전(PHPFusion)에서 초고위험도 취약점이 발견됐다. 로컬 파일 인클루전(Local File Inclusion, LFI)이라고 불리는 유형의 취약점으로 CVE-2023-2453이라는 관리 번호가 부여됐다. 익스플로잇에 성공한 공격자는 악성 .php 파일을 피해자 컴퓨터의 특정 경로에 업로드 함으로써 원격 코드 실행 공격을 성공시킬 수 있게 된다.
[이미지 = gettyimagesbank]
이 취약점을 발견한 건 보안 업체 시놉시스(Synopsys)다. 이것과 함께 중간 위험도 취약점인 CVE-2023-4480도 찾아냈다. 이 취약점을 익스플로잇 하는 데 성공할 경우 공격자들은 피해자 시스템의 파일 내용을 열람할 수도 있게 되고, 임의 장소에 파일을 만들 수도 있게 된다. 이 두 가지 취약점은 PHP퓨전 9.10.30 및 이전 버전들에 존재한다. 아직까지 패치는 나오지 않았다.
패치는 아직 불가능
이 두 가지 취약점을 찾아내고 공개한 시놉시스는 “공개 전 PHP퓨전 관리자 측에 연락을 여러 번 취했다”고 한다. “이메일도 보내고, 취약점 제보 채널을 통해 연락도 하고, 깃허브에서도 메시지를 보냈습니다. 인터넷 사용자들이 많은 커뮤니티에서도 연락을 시도했습니다. 하지만 아직까지 한 번도 연락이 닿은 적이 없습니다.”
PHP퓨전은 오픈소스 콘텐츠 관리 시스템으로, 2003년 처음 등장해 현재까지 사용되고 있다. 워드프레스나 드루팔, 줌라와 같은 유명세를 타지는 못했고, 따라서 아는 사람도 상대적으로 적다. 그럼에도 현재 PHP퓨전을 활용하고 있는 웹사이트는 1500만 개에 달한다. 특히 중소기업들이 온라인 포럼을 구축할 때 PHP퓨전을 자주 활용한다.
시놉시스에 의하면 CVE-2023-2453은 “어떤 조건이 성립되면 파일 점검을 제대로 하지 않아서 발동되는 취약점”이라고 한다. 이를 이용할 경우 공격자들은 임의의 .php 파일을 업로드 한 후 실행시킬 수 있게 된다는 게 시놉시스의 설명이다.
익스플로잇 성립 조건
“이 취약점을 익스플로잇 할 때 필요한 조건은 두 가지입니다.” 시놉시스의 소프트웨어 엔지니어인 매튜 호그(Matthew Hogg)의 설명이다. “제일 먼저 공격자는 권한이 거의 없는 계정이라 하더라도 인증 과정을 한 번은 통과해야 합니다. 그 다음으로 공격자는 취약한 엔드포인트가 어디에 있는지 알고 있어야 합니다. 두 가지를 다 성공하면 취약점 익스플로잇을 할 수 있게 됩니다.”
시놉시스의 취약점 관리 엔지니어인 벤 로날로(Ben Ronallo)는 “실제 취약점 익스플로잇 행위는 악의적으로 제작된 .php 페이로드를 피해자의 시스템 어딘가에 업로드시키는 것”이라며, “앞서 설명된 두 가지 조건을 성립시키는 것 자체가 익스플로잇 행위는 아니”라고 강조한다. “즉, 두 가지 조건을 만족시키는 건 기본 준비를 완료하는 것이고, 그 다음으로도 공격자는 페이로드를 만들고, 만든 페이로드를 업로드시키는 방법을 찾아내야 한다는 겁니다.”
여기까지 성공했다면 공격자는 여러 가지 악성 행위를 실시할 수 있게 된다. 다만 익스플로잇을 통해 침투한 시스템의 주인이(즉 피해자가) 어떤 권한을 가지고 있느냐에 따라 달라진다. “관리자 권한을 가진 시스템을 익스플로잇 했다면 임의의 파일을 열람하고, 원격 코드 실행 공격까지 이어갈 수 있습니다. 그렇다는 건 민감한 정보가 유출될 수도 있고, 서버를 공격자가 제어할 수도 있게 된다는 소리입니다.”
한편 CVE-2023-4480은 PHP퓨전의 파일 관리자 기능을 구성하는 디펜던시들 중 하나가 지원 만료되면서 생겨난 문제다. 관리자 권한을 얻어내는 데 성공한 공격자라면 파일의 콘텐츠를 노출시키거나 특정 파일을 서버의 파일 시스템에 작성할 수 있게 된다고 한다.
3줄 요약
1. PHP퓨전에서 두 가지 취약점 발견됨.
2. 하나는 초고위험도, 하나는 중간 위험도.
3. 초고위험도 취약점을 익스플로잇 하면 피해자의 권한에 따라 서버 장악까지 가능.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-12-27] 
