| 취약점ID |
21665 |
| 위험도 |
40 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
CGI |
| 상세설명 |
해당 FlatNuke 프로그램은 firma 인수를 통한 임의의 PHP 코드 실행 취약점에 취약하다. FlatNuke는 데이터베이스 대신에 일반 텍스트에만 의존하는 PHP로 제작된 CMS(Content Management System)이다. FlatNuke 2.5.5 이하의 버전들은 다중의 취약점들에 취약하다. 이 취약점들은 원격지의 공격자가 Cross-Site Scripting 공격, 스크립트 주입 공격, 혹은 취약한 시스템을 장악하는 데 도용될 수 있다.
1) 다중의 Cross-Site Scripting 취약점들: "structure.php" 스크립트의 "bodycolor", "backimage", "theme", 그리고 "logo" 인수들로 건네진 사용자 제공 입력은 사용자들에게 반환되기 전에 적절하게 필터링되지 않는다. 이는 취약한 사이트의 환경 하에서 사용자의 브라우저 세션으로 임의의 HTML과 스크립트 코드를 실행하는데 도용될 수 있다.
2) 스크립트 주입 취약점: 포스팅한 뉴스 기사들이 사이트의 관리자들에게 보여지기 전에 적절하게 필터링되지 않는다. 이는 악의적인 뉴스 포스팅이 보여질 때 영향을 받는 사이트의 환경 하에서 사이트 관리자의 브라우저 세션으로 임의의 스크립트 코드를 실행하는데 도용될 수 있다.
3) 임의의 PHP 명령 실행 취약점: "firma" 인수로 건네진 사용자 제공 입력은 사용자의 Signature가 (PHP 확장자를 가진) 사용자 파일로 저장되어 질 때 적절하게 필터링되지 않는다. 이는 임의의 PHP 명령들을 주입하여 실행하는 데 도용될 수 있다.
* 참고 사이트:
http://secunia.com/advisories/16330/
* 영향을 받는 플랫폼:
FlatNuke SourceForge Project, FlatNuke 2.5.5 이하의 버전들
모든 운영체제 모든 버전 |
| 해결책 |
SourceForge.net 웹 사이트인 http://prdownloads.sourceforge.net/flatnuke/ 에서 최신버전의 FlatNuke으로 업그레이드 하여야 한다. |
| 관련 URL |
CVE-2005-2539,CVE-2005-2540 (CVE) |
| 관련 URL |
14483,14485 (SecurityFocus) |
| 관련 URL |
21707,21708,21709 (ISS) |
|
