CVE-2023-4698

usememos/memos < 0.13.2에서의 로컬 파일 포함(LFI)

설명

오늘은 중요한 발견 — usememos/memos에서 확인된 심각한 보안 취약점에 대해 조명하고자 합니다. 로컬 파일 포함(LFI) 범주에 속하는 이 취약점은 usememos/memos 0.13.2 미만 버전을 실행하는 시스템에 심각한 위협을 가합니다. 이 문제는 CVE 식별자 CVE-2023–4698이 할당되었습니다. 이 블로그 게시물에서는 이 취약점을 분석하고, 그 영향력을 이해하며, 해결의 시급성을 강조할 것입니다.

LFI 취약점 이해하기

이 취약점의 핵심은 로컬 파일 포함(LFI) 결함입니다. 이러한 유형의 취약점은 공격자가 코드의 취약점을 악용하여 서버에서 임의의 파일을 읽을 수 있도록 합니다. 구체적으로, 이 취약점은 공격자가 요청에서 “InternalPath” 매개변수를 조작할 수 있는 결함으로 인해 발생하며, 궁극적으로 서버 파일 시스템의 파일을 포함하게 됩니다.

개념 증명

취약점의 영향

로컬 파일 포함(LFI) 취약점을 성공적으로 악용할 경우 그 영향은 광범위하고 심각합니다. usememos/memos의 영향을 받는 버전(< 0.13.2)을 실행하는 시스템의 경우 다음과 같은 결과가 발생할 수 있습니다:

• 데이터 도용: 공격자는 구성 파일 및 데이터베이스와 같은 민감한 파일에 접근하여 데이터 도용 및 개인정보 침해로 이어질 수 있습니다.
• 서버 손상: 특정 시나리오에서 LFI는 원격 코드 실행(RCE)으로 확장되어 공격자가 대상 시스템에서 임의의 코드를 실행할 수 있게 하여 완전한 서버 손상을 초래할 수 있습니다.