🇰🇷 한글 설명
Justin Hagstrom AutoIndex PHP 스크립트의 index.php dir 파라미터에서 %00(null byte) 문자를 사용한 원격 DoS 공격이 가능한 취약점이다. 악의적 사용자는 특수 문자 입력을 통해 재귀 계산을 트리거하여 대상 서버의 CPU와 메모리를 고갈시킬 수 있다.
💡 쉬운 설명
옛날 웹 서버 소프트웨어가 특정한 입력값을 처리할 때 무한 루프에 빠질 수 있는 문제이다. 공격자가 이를 악용하면 서버가 느려지거나 다운될 수 있다.
🇺🇸 원문 (English)
classes/Url.php in Justin Hagstrom AutoIndex PHP Script before 2.2.4 allows remote attackers to cause a denial of service (CPU and memory consumption) via a %00 sequence in the dir parameter to index.php, which triggers an erroneous "recursive calculation."
📍 영향받는 시스템
Justin Hagstrom AutoIndex PHP Script 버전 2.2.4 이전
⚔️ 공격 벡터
index.php의 dir 파라미터에 %00 바이트 시퀀스를 전송하여 재귀 계산 유발
🛡️ 대응 방법
AutoIndex PHP Script를 2.2.4 이상으로 업그레이드
🔧 검증 코드
Url.php 파일이 발견되면 해당 AutoIndex 설치 디렉토리에서 버전을 확인하여 2.2.4 미만이면 즉시 업데이트 필요
find /var/www -name 'Url.php' 2>/dev/null | head -1