🇰🇷 한글 설명
PHP 4.x에서 4.2.2 버전까지의 mail 함수가 인자값에서 ASCII 제어 문자를 적절히 필터링하지 않는 취약점입니다. 이를 통해 원격 공격자가 메일 헤더를 포함한 메시지 내용을 수정할 수 있으며, 해당 서버를 스팸 메일 발송을 위한 프록시로 악용할 수 있습니다.
💡 쉬운 설명
이메일을 보내는 기능에 보안 허점이 있어 공격자가 메일 내용을 마음대로 조작할 수 있습니다. 이로 인해 내 서버가 스팸 메일을 대량으로 보내는 도구로 이용될 위험이 있습니다.
🇺🇸 원문 (English)
The mail function in PHP 4.x to 4.2.2 does not filter ASCII control characters from its arguments, which could allow remote attackers to modify mail message content, including mail headers, and possibly use PHP as a "spam proxy."
📍 영향받는 시스템
PHP 4.x ~ 4.2.2
⚔️ 공격 벡터
mail 함수 인자에 ASCII 제어 문자를 삽입하여 메일 헤더 및 본문 조작
🛡️ 대응 방법
PHP를 4.2.3 이상의 최신 버전으로 업데이트
🔧 검증 코드
명령어 실행 결과 PHP 4.0에서 4.2 사이의 버전이 출력되면 취약할 가능성이 높습니다.
php -v 2>/dev/null | grep -E 'PHP 4\.[0-2]\.'