🇰🇷 한글 설명
PHP 5.2.4 이전 버전의 iconv_substr 함수에서 charset 또는 str 파라미터에 과도하게 긴 문자열을 입력하면 애플리케이션 크래시 또는 일시적 무응답(행) 상태를 야기하는 서비스 거부(DoS) 취약점입니다. 멀티스레드 웹 서버 환경에서는 영향이 제한적일 수 있습니다.
💡 쉬운 설명
PHP 문자 변환 함수에 매우 긴 텍스트를 입력하면 웹 서비스가 응답을 멈추거나 크래시됩니다. 공격자가 의도적으로 긴 데이터를 보내 서비스를 방해할 수 있습니다.
🇺🇸 원문 (English)
The iconv_substr function in PHP 5.2.4 and earlier allows context-dependent attackers to cause (1) a denial of service (application crash) via a long string in the charset parameter, probably also requiring a long string in the str parameter; or (2) a denial of service (temporary application hang) via a long string in the str parameter. NOTE: this might not be a vulnerability in most web server environments that support multiple threads, unless these issues can be demonstrated for code execution.
📍 영향받는 시스템
PHP 5.2.4 이전 버전의 iconv_substr 함수
⚔️ 공격 벡터
iconv_substr 함수의 charset 또는 str 파라미터에 과도하게 긴 문자열 입력을 통한 DoS 공격
🛡️ 대응 방법
PHP를 5.2.5 이상으로 업그레이드하거나 입력값 길이 제한 구현
🔧 검증 코드
출력 버전이 5.2.4 이하면 취약하고, 5.2.5 이상이면 패치된 상태입니다.
php -r 'echo "PHP ".PHP_VERSION;' 2>/dev/null || echo "PHP not installed"