CVE-2026-36340

Krayin CRM v2.1.5의 원격 코드 실행(RCE) 취약점

Krayin CRM v2.1.5의 원격 코드 실행(RCE) 취약점

CVE: CVE-2026-36340
심각도: 치명적(Critical)
영향을 받는 제품: Krayin CRM v2.1.5
취약점 유형: 원격 코드 실행(RCE)
인증 필요: 예

요약

Krayin CRM v2.1.5에 치명적인 원격 코드 실행(RCE) 취약점이 존재합니다.

이 취약점은 인증된 사용자가 이메일 작성 기능을 통해 임의의 PHP 파일을 업로드할 수 있게 합니다. 업로드된 첨부 파일은 적절한 검증이나 실행 제한 없이 공개적으로 접근 가능한 디렉터리에 저장됩니다.

결과적으로 공격자는 악성 PHP 페이로드를 업로드하고 업로드된 파일 URL에 접근하여 원격으로 실행할 수 있습니다. 성공적인 악용 시 서버 전체가 손상될 수 있습니다.

취약점 세부 정보

취약한 기능은 이메일 → 작성(Compose) 기능에 존재합니다.

영향을 받는 경로:

POST /admin/mail/create

이메일에 파일을 첨부할 때 백엔드는 다음 검사를 제대로 수행하지 않습니다:

• 파일 확장자 검증
• MIME 유형 확인
• 실행 가능한 파일 유형에 대한 제한
• PHP 코드의 삭제 또는 차단
• 공개적으로 접근 가능한 디렉터리 외부에 저장

이로 인해 애플리케이션은 .php 파일을 허용하고 다음 공개적으로 접근 가능한 경로에 직접 저장합니다:

/public/storage/emails/<mail_id>/<filename>.php

이 디렉터리는 웹 서버에서 제공되므로 업로드된 PHP 파일은 해당 URL에 접근하기만 하면 실행될 수 있습니다.

개념 증명(PoC)

이 개념 증명은 승인된 테스트 환경에서만 사용해야 합니다.

1. Krayin CRM에 로그인합니다.
2. 이메일 → 작성(Compose) 으로 이동합니다.
3. 첨부 파일로 .php 파일을 업로드합니다.
4. 이메일 양식을 제출합니다.
5. 업로드된 파일은 다음 경로에 저장됩니다:

/storage/emails/<id>/test.php

6. 업로드된 파일 URL에 접근하면 업로드된 페이로드가 실행됩니다.

요청(Request)

다음 요청은 이메일 첨부 파일 업로드 과정을 보여줍니다.

영향을 받는 엔드포인트 예시:

POST /admin/mail/create

요청에는 업로드된 PHP 첨부 파일이 포함됩니다.

응답(Response)

서버는 업로드된 파일을 저장하고 공개적으로 접근 가능한 파일 경로를 반환합니다.

업로드된 파일 경로 예시:

/storage/emails/<id>/test.php

원격 코드 실행(RCE)

PHP 파일이 업로드된 후 브라우저에서 직접 접근할 수 있습니다.

이로 인해 업로드된 PHP 페이로드가 원격으로 실행됩니다.

동영상 PoC

[동영상 PoC]

https://cyber.spool.co.jp/wp-content/uploads/2026/04/RCE-krayin.mp4

영향

성공적인 악용 시 공격자는 다음을 수행할 수 있습니다:

• 임의의 OS 명령 실행
• 웹 셸 업로드 및 실행
• 서버 파일 접근, 수정 또는 삭제
• 내부 네트워크 리소스로의 피벗
• 데이터베이스 내용 탈취
• 고객 데이터 손상
• CRM 서버 완전 장악

권장 사항

이 취약점을 완화하기 위해 다음 조치가 권장됩니다:

1. 허용된 파일 확장자를 제한합니다.
2. 서버 측에서 MIME 유형을 검증합니다.
3. 업로드된 첨부 파일을 공개적으로 접근 가능한 디렉터리 외부에 저장합니다.
4. 웹 서버 규칙을 통해 업로드된 파일의 실행을 차단합니다.
5. 백엔드 컨트롤러에 엄격한 검증을 추가합니다.
6. .php, .phtml, .phar 및 유사한 확장자와 같은 실행 가능한 파일 유형을 거부합니다.
7. 안전한 생성 파일 이름을 사용하여 업로드된 파일의 이름을 변경합니다.
8. 업로드된 파일 및 디렉터리에 최소 권한을 적용합니다.
9. 업로드 디렉터리에서 의심스러운 파일을 모니터링합니다.
10. 기존에 업로드된 모든 첨부 파일에서 실행 가능한 파일을 검토합니다.

참고 자료

• GitHub 보안 권고:
  https://github.com/krayin/laravel-crm/security/advisories/GHSA-4x7x-c646-39jw

• 동영상 PoC:
  https://drive.google.com/file/d/1yBdvbrXGf9fsFckmK9zTe2v8_vDtdicH/view?usp=drive_web
  https://cyber.spool.co.jp/wp-content/uploads/2026/04/RCE-krayin.mp4

• Krayin CRM v2.1.6 릴리스:
  https://github.com/krayin/laravel-crm/releases/tag/v2.1.6

• NVD 참고 자료:
  https://nvd.nist.gov/vuln/detail/CVE-2024-38529

공급업체 / 연구원 메모

CyberCrew는 필요에 따라 추가 세부 정보, 테스트 정보 또는 추가 지원을 제공할 수 있습니다.