CVE-2017-9841

CVE-2017-9841 탐지 스크립트 (Massimiliano Brasile 제작)

발생 상황

2020년 1월 6일, PrestaShop의 대부분 버전에 영향을 미치는 보안 문제에 대해 통보받았습니다 (이 경고는 2020년 1월 3일에 PS 팀에 의해 내부적으로만 공유되었습니다). 조사 결과, PHPUnit [1]이라는 테스트 프레임워크 라이브러리가 Prestashop 1.7에서 사용되는 일부 프로덕션 모듈에 우연히 포함되어 있어 문제가 발생한 것을 발견했습니다 (Prestashop API를 통해 또는 PrestaShop 설치 시 배포됨). PHPUnit의 문제는 CVE-2017-9841 [2] [3]로 지정되었지만, 현재 Prestashop에 대한 경고가 활성화되어 있는 이유는 이 문제를 정확히 스캔하는 봇 (XsamXadoo)이 적어도 하나 이상 있기 때문입니다 [4].

작동 방식

기술적으로 CVE-2017-9841은 phpunit/phpunit의 버그가 있는 버전을 사용하는 모든 애플리케이션에서 원격 코드 실행 가능성을 의미하며, 2020년 1월 8일에 또 다른 문제가 발견되었습니다 ( ~~4.8.28 이전 및 5.x의 5.6.3 이전~~ 7.x의 경우 7.5.19 이전, 8.x의 경우 8.5.1 이전 버전 관련 [5] ). phpunit은 유명한 프레임워크이므로 주류 PHP CMS(Prestashop, Wordpress, Drupal 등)와 그 플러그인에 영향을 미치는 것으로 보이지만, 해당 CMS가 이를 사용하는 경우에만 해당됩니다. 이러한 백도어를 찾기 위해 웹 루트의 모든 하위 폴더에서 이 테스트 프레임워크가 포함되어 있는지 확인하는 것이 필수적입니다. 그래서 전체 과정을 가속화하기 위해 제가 담당하는 모든 Prestashop 또는 Wordpress 인스턴스를 제어하는 데 도움이 되는 이 작은 quick&dirty 스크립트를 작성했습니다.

확인해야 할 위치

PS 포럼 [4]에 따르면 다음 모듈을 확인해야 합니다:

autoupgrade (버전 4)
module pscartabandonmentpro ; 버전 v2.0.1 및 2.0.2
module ps_checkout ; 버전 v1.0.8 및 v1.0.9
module ps_facetedsearch ; 버전 v3.0.0 및 v2.2.1
module gamification

하지만 제 테스트에서는 ps_facetedsearch v3.2.1 모듈에서도 발견했습니다. autoupgrade v4.9+에는 나타나지 않았습니다.

스크립트 사용 방법

bash 스크립트를 웹 루트 폴더(예: /var/www/html)에 복사합니다.
root (예: sudo ./cve_phpunit.sh) 또는 최소한 모든 폴더와 파일을 읽을 수 있는 적절한 권한으로 실행합니다.
재귀적 스캔이 끝날 때까지 기다립니다. 발생 시 발견된 phpunit/phpunit 폴더에 대해 안전한 버전인지 버그가 있는 버전인지 표시합니다.