계: Environment

이 섹션에는 소스 코드 외부에 있지만 제작 중인 제품의 보안에는 여전히 중요한 내용이 모두 포함되어 있습니다. 이 섹션에서 다루는 문제들은 소스 코드와 직접적으로 관련이 없기 때문에 나머지 섹션과 분리했습니다.

PHP Misconfiguration: file_uploads Enabled

Abstract

사용자에게 파일 업로드에 대한 권한을 부여하면 공격자는 위험한 콘텐트를 삽입하거나 악성 코드를 실행할 수 있습니다.

Explanation

file_uploads 옵션을 활성화하면 PHP 사용자가 임의의 파일을 서버에 업로드할 수 있습니다. 사용자에게 파일 업로드에 대한 권한을 부여하여도 보안 취약점 자체는 나타나지 않습니다. 그러나, 이 기능은 악의적인 사용자가 서버 환경에 데이터를 전송할 수 있는 경로를 제공하므로 다양한 공격이 발생할 수 있습니다.

프로그램을 작성한 언어와 관계 없이 대부분의 파괴적인 공격은 원격 코드 실행과 관련이 있으며 이러한 점을 사용하여 공격자는 프로그램의 컨텍스트에 악성 코드를 실행하는 데 성공합니다. 공격자가 웹에서 접근할 수 있는 디렉터리에 파일을 업로드하여 해당 파일이 PHP 인터프리터에 전달되면 이러한 파일에 포함된 악성 코드가 서버에서 실행될 수 있습니다.

예제1: 다음 코드는 업로드한 파일을 처리하고 웹 루트 아래의 디렉터리로 이동시킵니다. 공격자는 악성 PHP 소스 파일을 이 프로그램에 업로드한 후 바로 서버에서 해당 파일을 요청할 수 있기 때문에 PHP 인터프리터에서 실행될 수 있게 됩니다.


<?php
$udir = 'upload/'; // Relative path under Web root
$ufile = $udir . basename($_FILES['userfile']['name']);
if (move_uploaded_file($_FILES['userfile']['tmp_name'], $ufile)) {
    echo "Valid upload received\n";
} else {
    echo "Invalid upload rejected\n";
} ?>

프로그램이 웹에서 접근할 수 없는 디렉터리 아래에 업로드한 파일을 저장하더라도 공격자는 악성 콘텐트를 서버 환경에 전달할 수 있는 능력을 이용하여 공격에 성공할 수 있습니다. 프로그램이 path manipulation, command injection 또는 remote include 취약점에 취약한 경우, 공격자는 악성 콘텐트가 포함된 파일을 업로드하여 프로그램에서 다른 취약점을 익스플로이트하여 해당 파일을 읽거나 실행할 수 있습니다.

References

[1] M. Achour et al. PHP Manual

[2] Alla Bezroutchko Secure file upload in PHP web applications

[3] Standards Mapping - Common Weakness Enumeration CWE ID 434

[4] Standards Mapping - Common Weakness Enumeration Top 25 2019 [16] CWE ID 434

[5] Standards Mapping - Common Weakness Enumeration Top 25 2020 [15] CWE ID 434

[6] Standards Mapping - Common Weakness Enumeration Top 25 2021 [10] CWE ID 434

[7] Standards Mapping - Common Weakness Enumeration Top 25 2022 [10] CWE ID 434

[8] Standards Mapping - Common Weakness Enumeration Top 25 2023 [10] CWE ID 434

[9] Standards Mapping - Common Weakness Enumeration Top 25 2024 [10] CWE ID 434

[10] Standards Mapping - DISA Control Correlation Identifier Version 2 CCI-001167

[11] Standards Mapping - FIPS200 CM

[12] Standards Mapping - General Data Protection Regulation (GDPR) Indirect Access to Sensitive Data

[13] Standards Mapping - NIST Special Publication 800-53 Revision 4 SC-18 Mobile Code (P2)

[14] Standards Mapping - NIST Special Publication 800-53 Revision 5 SC-18 Mobile Code

[15] Standards Mapping - OWASP API 2023 API8 Security Misconfiguration

[16] Standards Mapping - OWASP Application Security Verification Standard 4.0 12.2.1 File Integrity Requirements (L2 L3), 12.5.2 File Download Requirements (L1 L2 L3), 13.1.5 Generic Web Service Security Verification Requirements (L2 L3)

[17] Standards Mapping - OWASP Mobile 2014 M1 Weak Server Side Controls

[18] Standards Mapping - OWASP Top 10 2004 A10 Insecure Configuration Management

[19] Standards Mapping - OWASP Top 10 2007 A3 Malicious File Execution

[20] Standards Mapping - OWASP Top 10 2010 A6 Security Misconfiguration

[21] Standards Mapping - OWASP Top 10 2013 A5 Security Misconfiguration

[22] Standards Mapping - OWASP Top 10 2017 A6 Security Misconfiguration

[23] Standards Mapping - OWASP Top 10 2021 A05 Security Misconfiguration

[24] Standards Mapping - Payment Card Industry Data Security Standard Version 1.1 Requirement 6.5.10

[25] Standards Mapping - Payment Card Industry Data Security Standard Version 1.2 Requirement 6.5.3

[26] Standards Mapping - Payment Card Industry Data Security Standard Version 3.0 Requirement 6.5.8

[27] Standards Mapping - Payment Card Industry Data Security Standard Version 3.1 Requirement 6.5.8

[28] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2 Requirement 6.5.8

[29] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2.1 Requirement 6.5.8

[30] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0 Requirement 6.2.4

[31] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0.1 Requirement 6.2.4

[32] Standards Mapping - Payment Card Industry Software Security Framework 1.0 Control Objective 5.4 - Authentication and Access Control

[33] Standards Mapping - Payment Card Industry Software Security Framework 1.1 Control Objective 5.4 - Authentication and Access Control

[34] Standards Mapping - Payment Card Industry Software Security Framework 1.2 Control Objective 5.4 - Authentication and Access Control, Control Objective C.2.3 - Web Software Access Controls, Control Objective C.3.4 - Web Software Attack Mitigation

[35] Standards Mapping - Security Technical Implementation Guide Version 4.2 APSC-DV-003300 CAT II

[36] Standards Mapping - Security Technical Implementation Guide Version 4.3 APSC-DV-003300 CAT II

[37] Standards Mapping - Security Technical Implementation Guide Version 4.4 APSC-DV-003300 CAT II

[38] Standards Mapping - Security Technical Implementation Guide Version 4.5 APSC-DV-003300 CAT II

[39] Standards Mapping - Security Technical Implementation Guide Version 4.6 APSC-DV-003300 CAT II

[40] Standards Mapping - Security Technical Implementation Guide Version 4.7 APSC-DV-003300 CAT II

[41] Standards Mapping - Security Technical Implementation Guide Version 4.8 APSC-DV-003300 CAT II

[42] Standards Mapping - Security Technical Implementation Guide Version 4.9 APSC-DV-003300 CAT II

[43] Standards Mapping - Security Technical Implementation Guide Version 4.10 APSC-DV-003300 CAT II

[44] Standards Mapping - Security Technical Implementation Guide Version 4.11 APSC-DV-003300 CAT II

[45] Standards Mapping - Security Technical Implementation Guide Version 4.1 APSC-DV-003300 CAT II

[46] Standards Mapping - Security Technical Implementation Guide Version 5.1 APSC-DV-003300 CAT II

[47] Standards Mapping - Security Technical Implementation Guide Version 5.2 APSC-DV-003300 CAT II

[48] Standards Mapping - Security Technical Implementation Guide Version 5.3 APSC-DV-003300 CAT II

[49] Standards Mapping - Security Technical Implementation Guide Version 6.1 APSC-DV-003300 CAT II

[50] Standards Mapping - Security Technical Implementation Guide Version 6.2 APSC-DV-003300 CAT II

[51] Standards Mapping - Web Application Security Consortium Version 2.00 Application Misconfiguration (WASC-15)

desc.structural.php.php_misconfiguration_file_uploads