|
[CVE-2020-28183]Water Billing System SQL Injection 침해사고분석팀 2020.12.04 |
|
|
Water Billing System에 SQL 인젝션 취약점이 존재합니다.
Water Billing System은 PHP, MySQLi, JavaScript, CSS 및 Bootstrap을 사용하여 개발된 웹 기반 시스템으로, 청구서 내역 확인 등 청구서 관리 및 사용자 관리에 용이합니다.
해당 취약점은 process.php 페이지의 username, password 매개 변수에 대한 부족한 입력 유효성 검사로 인해 발생합니다. 원격의 공격자는 악의적으로 조작된 요청을 전송하여 공격할 수 있습니다.
공격 성공 시, 임의의 코드가 실행될 수 있습니다.
취약점 설명
NVD - CVE-2020-28183 CVSS v2.0 Severity and Metrics: Base Score: 10.0 HIGH
[그림1. NVD 내역]
취약점 분석
해당 취약점은 /wbs/process.php 페이지의 username, password 매개 변수에 대한 부족한 입력 유효성 검사로 인해 발생합니다.
따라서 취약한 매개 변수에 SQL Injection을 통해 전체 DB를 추출하거나 임의의 코드를 실행할 수 있습니다.
해당 취약점에 대한 알려진 패치 사항은 없습니다.
공격 분석 및 테스트
CVE-2020-28183의 공격 패킷은 다음과 같습니다.
[그림3. username 매개 변수에 대한 공격 패킷]
[그림4. password 매개 변수에 대한 공격 패킷]
취약점 대응 방안
1. 최신 버전 사용
아직 알려진 패치 사항은 없습니다.
제조사 페이지 - https://www.sourcecodester.com/php/14560/water-billing-system-phpmysqli-full-source-code.html
2. WINS Sniper 제품군 대응 방안
Water Billing System username SQL Injection
|
