🇰🇷 한글 설명
PHP의 mbstring.func_overload 설정이 Apache 가상호스트 간에 격리되지 않는 취약점입니다. 로컬 사용자가 .htaccess 파일을 통해 이 설정을 수정하면 동일 서버의 다른 가상호스트들에도 영향을 미칩니다.
💡 쉬운 설명
같은 웹 서버에서 여러 사이트를 운영할 때, 한 사이트의 설정 변경이 다른 사이트에도 적용되는 문제입니다. 사이트 간 설정 격리가 제대로 되지 않아서 발생합니다.
🇺🇸 원문 (English)
PHP 4.4.4, 5.1.6, and other versions, when running on Apache, allows local users to modify behavior of other sites hosted on the same web server by modifying the mbstring.func_overload setting within .htaccess, which causes this setting to be applied to other virtual hosts on the same server.
📍 영향받는 시스템
PHP 4.4.4, 5.0.x, 5.1.6 등 Apache 웹서버 환경
⚔️ 공격 벡터
.htaccess 파일의 mbstring.func_overload 값 변경으로 같은 서버의 다른 가상호스트 동작 변조
🛡️ 대응 방법
PHP를 최신 버전으로 업그레이드하거나 .htaccess를 통한 설정 변경 제한
🔧 검증 코드
PHP 버전이 4.4.x 또는 5.0-5.1.x이고 mbstring.func_overload가 enabled로 출력되면 취약합니다.
php -r 'echo phpversion(); echo ini_get("mbstring.func_overload") ? "|enabled" : "|disabled";' 2>/dev/null