🇰🇷 한글 설명
PHP의 html_entity_decode 함수에서 사용자 공간 중단(userspace interruption)을 유발하여 메모리 내용을 유출하거나 메모리 손상을 초래할 수 있는 취약점입니다. 호출 시점 참조 전달(call time pass by reference) 기능과 관련된 문제로, 특정 조건에서 공격자가 민감한 정보에 접근할 수 있습니다.
💡 쉬운 설명
PHP의 특정 함수에서 잘못된 메모리 처리로 인해 공격자가 메모리 내용을 볼 수 있거나 시스템을 충돌시킬 수 있는 버그입니다. 이 문제는 PHP 5.2와 5.3의 초기 버전들에서만 존재합니다.
🇺🇸 원문 (English)
The html_entity_decode function in PHP 5.2 through 5.2.13 and 5.3 through 5.3.2 allows context-dependent attackers to obtain sensitive information (memory contents) or trigger memory corruption by causing a userspace interruption of an internal call, related to the call time pass by reference feature.
📍 영향받는 시스템
PHP 5.2.0~5.2.13, PHP 5.3.0~5.3.2
⚔️ 공격 벡터
html_entity_decode() 함수에 특정 입력값을 전달하여 userspace 중단을 유발하고 메모리 손상 발생
🛡️ 대응 방법
PHP를 5.2.14 이상 또는 5.3.3 이상으로 업그레이드
🔧 검증 코드
명령어가 결과를 출력하면 취약한 PHP 버전이 설치되어 있고, 출력이 없으면 안전한 버전입니다.
php -v | grep -E 'PHP (5\.[23]\.[0-9]+|5\.2\.(1[0-3]|[0-9])|5\.3\.[0-2])'