| 취약점ID |
21797 |
| 위험도 |
40 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
CGI |
| 상세설명 |
해당 phpCOIN 소프트웨어는 버전 1.2.2에 존재하는 다중의 취약점들에 취약하다. phpCOIN은 고객, 주문, 송장, 노트, 헬프데스크들을 취급할 수 있도록 웹 호스팅 판매업자들을 위해 고안된 무료 소프트웨어 패키지이다. phpCOIN 버전 1.2.2는 두 개의 취약점들에 취약하다. 이 취약점들은 원격지의 공격자에 의해 SQL 주입 공격들을 수행하고 취약한 시스템을 장악하는 데 도용될 수 있다:
1) "config.php"에 있는 "_CCFG[_PKG_PATH_DBSE]" 인수로 전달된 입력은 파일들을 포함(Include)하는 데 사용되기 전에 적절하게 검증되지 않는다. 만약 register_globals 설정이 사용함으로 되어 있다면 원격지의 비인가된 공격자는 이 취약점들 도용하여 웹 서버 프로세서의 권한을 가지고 취약한 시스템 상에 임의의 파일들을 읽어 내거나 임의의 PHP 코드를 실행시킬 수 있다.
2) "phpcoinsessid" 쿠키 인수로 전달된 입력은 SQL 질의로 사용되기 전에 적절하게 필터링되지 않는다. 만약 magic_quotes_gpc 설정이 사용 안함으로 되어 있다면 이것은 임의의 SQL 코드를 주입함으로써 SQL 질의들을 조작하는 데 도용될 수 있다.
* 참고 사이트:
http://forums.phpcoin.com/index.php?showtopic=5469
http://secunia.com/advisories/18030
http://securitytracker.com/id?1015345
http://www.securityfocus.com/archive/1/archive/1/419382/100/0/threaded
* 영향을 받는 플랫폼:
phpCOIN 버전 1.2.2
모든 운영체제 모든 버전 |
| 해결책 |
phpCOIN 다운로드 웹 사이트인 http://www.phpcoin.com/auxpage.php?page=download 에서 구할 수 있는 phpCOIN의 가장 최신 버전(2005-12-13 fix-file을 가진 1.2.2 혹은 이후)으로 업그레이드 하여야 한다. |
| 관련 URL |
CVE-2005-4211,CVE-2005-4212,CVE-2005-4213 (CVE) |
| 관련 URL |
15830,15831 (SecurityFocus) |
| 관련 URL |
(ISS) |
|
