🇰🇷 한글 설명
PHP 5.2-5.2.13 및 5.3-5.3.2에서 iconv_mime_decode, iconv_substr, iconv_mime_encode 함수가 불완전한 경계 검사로 인해 사용자 입력으로 메모리 내용(민감한 정보)을 읽을 수 있는 정보 공개 취약점입니다. 함수 호출 방식 조작을 통해 트리거될 수 있습니다.
💡 쉬운 설명
PHP의 문자 변환 기능에 버그가 있어서 공격자가 서버 메모리에 저장된 암호나 개인정보 같은 민감한 데이터를 읽어낼 수 있습니다. 특정 함수를 잘못된 방식으로 호출하면 메모리 누수가 발생합니다.
🇺🇸 원문 (English)
The (1) iconv_mime_decode, (2) iconv_substr, and (3) iconv_mime_encode functions in PHP 5.2 through 5.2.13 and 5.3 through 5.3.2 allow context-dependent attackers to obtain sensitive information (memory contents) by causing a userspace interruption of an internal function, related to the call time pass by reference feature.
📍 영향받는 시스템
PHP 5.2.0-5.2.13, PHP 5.3.0-5.3.2
⚔️ 공격 벡터
웹 애플리케이션이 사용자 입력을 iconv_mime_decode, iconv_substr, iconv_mime_encode 함수에 전달할 때, 공격자가 특정 입력값으로 메모리 공개 유발
🛡️ 대응 방법
PHP를 5.2.14 이상 또는 5.3.3 이상으로 즉시 업그레이드
🔧 검증 코드
위 명령어가 버전을 출력하면 취약점 있음(5.2.0-5.2.13 또는 5.3.0-5.3.2); 아무것도 출력 안 되면 안전함
php -v | grep -oE 'PHP [0-9]+\.[0-9]+\.[0-9]+' | awk '{print $2}' | grep -E '^5\.(2\.1[0-3]|3\.[0-2])$'