HeuJung
4b6adf4788
KISA 신고포상제 접수 3건(KVE-2026-1677/1678/1679)의 공통 원인은 하나다 — "위험한 것을 골라 막았고, 목록 밖으로 우회됐다". 세 지점 모두 판정을 뒤집는다. 예약 작업 Artisan (KVE-2026-1679) 차단 9개 / 허용 229개였던 구조를 허용목록으로 바꾸고 명령마다 허용 옵션을 선언한다. 검증 과정에서 보고서보다 짧은 경로를 추가로 발견했다 — 검증기는 preg_split 의 첫 토큰을 명령명으로 봤지만 실행부는 문자열째 넘겼고, parameters 가 비면 Laravel 이 StringInput 으로 재파싱한다. 따옴표 한 쌍이면 차단목록의 tinker 가 그대로 실행됐다 (마커 파일로 확인). 파서를 엄격 형태 하나로 고정하고 실행은 (명령명, 인자배열)로 넘겨 재해석 지점 자체를 없앴다. 언어팩 (KVE-2026-1678) 위험 함수 11개를 정규식으로 나열하던 검사를 토큰 상태기계로 교체해 "번역 배열만" 통과시킨다. 목록에 없는 함수도, 함수 이름을 아예 쓰지 않는 형태도 원리적으로 막힌다. 파일 형식·PHP 위치·심볼릭 링크도 화이트리스트로 뒤집었다. 활성 승격이 require 배선의 필수 조건이므로 설치와 활성화의 권한 경계를 네 설치 경로 전부에 같은 강도로 건다 — 경로별 면제는 곧 우회로가 되기 때문이다. 화면은 운영자의 활성화 권한을 보고 auto_activate 를 실을지 결정하므로 재설치 흐름은 그대로 동작한다. 인스톨러 (KVE-2026-1677) 실행 바이너리 자리에 인자가 들어가는 것을 형태 규칙으로 차단한다. escapeshellarg 는 "하나의 인자" 임만 보장할 뿐 그 인자가 실행 파일인지 스크립트인지는 보장하지 않는다. 판정을 의존성 0 공용 정책으로 모아 진단 API·설치 워커·저장 시점이 같은 규칙을 쓴다. stat 은 호출하지 않는다 — 접근이 제한된 서버에서 정상 경로가 거부되던 회귀를 재발시키지 않기 위함이다. 검증: 백엔드 392건 + 프론트 7건 green(skip 1, symlink 미지원 환경). PoC 마커로 red 를 먼저 확보하고, 수정 후 stash 역회귀로 다시 red 가 되는 것까지 확인했다.
50 lines
2.0 KiB
PHP
50 lines
2.0 KiB
PHP
<?php
|
|
|
|
namespace App\Rules\LanguagePack;
|
|
|
|
use App\Enums\PermissionType;
|
|
use Closure;
|
|
use Illuminate\Contracts\Validation\ValidationRule;
|
|
use Illuminate\Support\Facades\Auth;
|
|
|
|
/**
|
|
* `auto_activate` 로 설치 직후 활성화를 요청할 때 활성화 권한을 추가로 요구하는 Custom Rule.
|
|
*
|
|
* 언어팩 설치(`core.language_packs.install`)와 활성화(`core.language_packs.manage`)는 원래
|
|
* 별도 권한이다. 그런데 설치 요청의 `auto_activate` 플래그는 install 권한만으로 활성 상태를
|
|
* 만들 수 있어 경계가 무너져 있었다. 활성 팩만 fallback 경로에 배선되어 `require` 되므로,
|
|
* 이 경계가 임의 PHP 실행의 마지막 관문이다.
|
|
*
|
|
* `authorize()` 가 아니라 필드 단위 Rule 이어야 한다 — `authorize()` 로 처리하면
|
|
* `auto_activate` 를 보내지 않은 정상 설치 요청까지 403 이 된다. 필드 단위로 두면
|
|
* 그 항목만 422 로 거부되고, 항목을 빼면 설치는 그대로 진행된다.
|
|
*
|
|
* 판정 기준은 활성화 라우트가 쓰는 권한과 같다(`core.language_packs.manage`, admin 타입) —
|
|
* 두 경로가 다른 기준을 쓰면 한쪽이 우회로가 된다.
|
|
*/
|
|
class RequiresActivationPermission implements ValidationRule
|
|
{
|
|
/** 활성화에 필요한 권한 식별자 */
|
|
public const PERMISSION = 'core.language_packs.manage';
|
|
|
|
/**
|
|
* 활성화를 요청했다면 활성화 권한을 가지고 있는지 검증합니다.
|
|
*
|
|
* @param string $attribute 검증 대상 필드명
|
|
* @param mixed $value 검증 대상 값
|
|
* @param Closure $fail 실패 콜백
|
|
*/
|
|
public function validate(string $attribute, mixed $value, Closure $fail): void
|
|
{
|
|
if (! filter_var($value, FILTER_VALIDATE_BOOLEAN)) {
|
|
return;
|
|
}
|
|
|
|
$user = Auth::user();
|
|
|
|
if ($user === null || ! $user->hasPermission(self::PERMISSION, PermissionType::Admin)) {
|
|
$fail(__('language_packs.errors.auto_activate_requires_manage'));
|
|
}
|
|
}
|
|
}
|