🛡️ 1C-Битрикс Translate 모듈의 CVE-2025-67887/86 "취약점" 수정

1С-Битрикс 보안 1С-Битрикс 정보 보안 및 사고 모니터링 센터 안내

Telegram 채널에 '번역' 모듈에 보안 검사 없이 아카이브를 무단 업로드할 수 있는 취약점이 있다는 정보가 나타났습니다.

당사는 신속히 조사하였으며, 제품에 취약점이 존재함을 확인하지 않았습니다. '번역' 모듈로의 파일 업로드는 관리자만 가능합니다. 메시지에 언급된 필요 권한은 관리자 권한에 해당합니다. 관리자는 프로젝트의 모든 코드를 변경하고 실행할 수 있는 권한이 있습니다.

따라서 취약점은 존재하지 않습니다.
https://t.me/bitrixkiberbez/76

수정에서는 아카이브 압축 해제 후 .htaccess 파일의 모든 변형을 탐지 및 삭제하는 재귀적 디렉토리 샌타이저가 구현되었습니다.

🔧 코드의 기능

/**
 * Removes any variation of .htaccess files from the extracted directory.
 * Covers case sensitivity (.HTACCESS) and trailing dots/spaces.
 * By CyberOK | https://www.cyberok.ru/
 */
private function sanitizeDirectory(Translate\IO\Directory $dir): void
{
    foreach ($dir->getChildren() as $entry) {
        if ($entry instanceof Main\IO\Directory) {
            $this->sanitizeDirectory(new Translate\IO\Directory($entry->getPhysicalPath()));
        } else {
            if (preg_match('/^\.htaccess[.\s]*$/i', $entry->getName())) {
                $entry->delete();
            }
        }
    }
}

CVE-2025-67887

인기

📁 교체 경로