• 원격 코드 실행 (RCE) — 공격자가 서버에서 임의 코드 실행을 유발하는 파일을 업로드할 수 있습니다.
• 전체 서버 장악 — WordPress 프로세스가 상승된 권한으로 실행되는 경우, 성공적인 익스플로잇은 시스템 수준의 접근을 제공할 수 있습니다.
• 데이터 노출 — 민감한 환경 변수, 자격 증명 및 내부 파일이 노출될 수 있습니다.
• 지속성 — 공격자는 장기 접근을 위해 백도어나 리버스 셸을 설치할 수 있습니다.

CVSS (추정): 치명적 — 기본 점수 ≈ 9.8

영향을 받는 버전

• 영향 있음: 4.24.12까지의 모든 버전 (보고 기준).
• 영향 없음: 공급업체가 이 문제를 해결한 패치 버전 (정확한 수정 버전은 공급업체 권고 참조).

설치

먼저 취약한 실습 환경을 설치해야 합니다. 아래 가이드를 따르십시오.

안전한 테스트 / 설치 (실습 전용)

연구자나 방어자이며 통제된 환경에서 이를 재현해야 하는 경우:

1. 프로덕션이나 민감한 환경에 연결되지 않은 격리된 가상 머신 또는 컨테이너 네트워크를 사용하십시오.
2. 클론된 저장소 내에서 safe-lab 디렉토리로 이동하여 제공된 docker-compose.yaml 파일을 실행하여 테스트 설정을 배포하십시오.

배포 후: 로그인 및 취약한 플러그인 설치

1. 브라우저를 열고 http://localhost(또는 실습을 배포한 호스트/포트)로 이동하십시오.
2. WordPress 설정이 나타나면 완료하십시오 (관리자 계정 생성).
3. 관리자로 로그인한 후 Plugins → Add New → Upload Plugin으로 이동하십시오.
4. 저장소 내 safe-lab/에 있는 취약한 플러그인 ZIP 파일을 업로드하고 각 플러그인을 활성화하십시오.

참고: safe-lab 폴더에는 테스트용 의도적으로 취약한 플러그인이 포함되어 있습니다. 격리된 오프라인 실습 환경에서만 설치하십시오. 이렇게 하면 통제된 실습 환경에서 취약한 WordPress 인스턴스와 MariaDB 서비스가 모두 시작됩니다.

저장소 (실습 파일 및 에셋): https://github.com/vigilante-1337/CVE-2024-11635/tree/main/safe-lab

경고: 명시적 허가 없이 네트워크나 시스템에서 익스플로잇 바이너리를 실행하거나 적극적인 익스플로잇을 수행하지 마십시오. 이 정보는 방어 연구, 패치 검증 또는 격리된 실습실에서의 교육 목적으로만 사용하십시오.

완화 및 권장 사항

• 패치: 가능한 빨리 공급업체가 발표한 수정 버전으로 업그레이드하십시오.
• 최소 권한: 서비스를 최소한의 필요 권한으로 실행하고 웹에 노출되는 서비스에는 격리된 계정/컨테이너를 사용하십시오.
• 환경 보호: 민감한 환경 변수를 애플리케이션 수준 프로세스에 노출하지 말고, 볼트 또는 시크릿 관리 도구를 사용하십시오.
• 모니터링: 웹 디렉토리에 파일 무결성 모니터링을 구현하고 새롭거나 수정된 실행 파일에 대해 경고를 설정하십시오.
• WAF / 필터: 웹 애플리케이션 방화벽과 업로드 엔드포인트에 대한 엄격한 요청/응답 필터링을 사용하십시오.

참고 자료

• Wordfence: https://www.wordfence.com/threat-intel/vulnerabilities/id/b5165f60-6515-4a2c-a124-cc88155eaf01?source=cve
• Abrahack: https://abrahack.com/posts/wp-file-upload-rce-part1/

공개

이 문서는 책임 있는 공개 지침에 따라 공개되었습니다. 교육 및 방어 목적으로만 제공됩니다.

WordPress File Upload <= 4.24.12 - 인증되지 않은 원격 코드 실행 — 참고:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/wp-file-upload/wordpress-file-upload-42412-unuathenticated-remote-code-execution