🇰🇷 한글 설명
PHP 5.2.1 이하의 substr_compare 함수에서 정수 오버플로우 취약점이 발생하며, length 인수에 큰 값을 입력하여 민감한 메모리 정보를 읽을 수 있습니다. 이는 CVE-2006-1991과는 별개의 취약점입니다.
💡 쉬운 설명
PHP 프로그래밍 언어의 문자열 비교 함수에서 매우 큰 숫자를 입력하면 컴퓨터 메모리의 비밀 정보를 읽을 수 있는 버그입니다. PHP 5.2.1 이전 버전을 사용하는 웹사이트가 영향을 받습니다.
🇺🇸 원문 (English)
Integer overflow in the substr_compare function in PHP 5.2.1 and earlier allows context-dependent attackers to read sensitive memory via a large value in the length argument, a different vulnerability than CVE-2006-1991.
📍 영향받는 시스템
PHP 5.2.1 이하 버전 (substr_compare 함수 사용하는 애플리케이션)
⚔️ 공격 벡터
PHP 스크립트에서 substr_compare 함수 호출 시 의도적으로 매우 큰 length 인수값을 전달하여 메모리 정보 유출 공격
🛡️ 대응 방법
PHP를 5.2.2 이상의 보안 패치가 적용된 버전으로 업그레이드 수행
🔧 검증 코드
출력된 PHP 버전이 5.2.2 이상이면 패치됨, 5.2.1 이하면 취약점 존재
php -v | grep -oP 'PHP \K[0-9]+\.[0-9]+\.[0-9]+'