🇰🇷 한글 설명
PHP 4.x (4.4.8 이전) 및 5.x (5.2.5 이전)의 GENERATE_SEED 매크로가 64비트 시스템에서 부동소수점 연산 정밀도 부족으로 인해 24비트의 낮은 엔트로피만 생성합니다. 이로 인해 rand() 및 mt_rand() 함수의 출력을 쉽게 예측할 수 있어 세션 토큰 등 보안 메커니즘에 대한 브루트포스 공격이 단순화됩니다.
💡 쉬운 설명
PHP의 난수 생성 함수가 64비트 컴퓨터에서 매우 약한 난수(24비트만 사용)를 생성합니다. 공격자가 보안 토큰을 쉽게 추측할 수 있게 됩니다.
🇺🇸 원문 (English)
The GENERATE_SEED macro in PHP 4.x before 4.4.8 and 5.x before 5.2.5, when running on 64-bit systems, performs a multiplication that generates a portion of zero bits during conversion due to insufficient precision, which produces 24 bits of entropy and simplifies brute force attacks against protection mechanisms that use the rand and mt_rand functions.
📍 영향받는 시스템
PHP 4.x (< 4.4.8), PHP 5.x (< 5.2.5) on 64-bit systems
⚔️ 공격 벡터
Brute force prediction of random values used in session tokens, CSRF tokens, and other security mechanisms via rand()/mt_rand()
🛡️ 대응 방법
Upgrade to PHP 4.4.8, 5.2.5 or later versions
🔧 검증 코드
Displayed PHP version below 4.4.8 (for PHP 4) or 5.2.5 (for PHP 5) indicates vulnerability; if command fails, PHP is not installed or not in PATH
php -v 2>/dev/null | grep -oE 'PHP [0-9]+\.[0-9]+\.[0-9]+'