🇰🇷 한글 설명
PHP 5.2.14 이전 및 5.3.3 이전 버전의 var_export 함수에서 메모리/실행시간/재귀 한도 초과 시 display_errors 설정과 무관하게 출력 버퍼를 플러시하여 민감한 정보가 원격 공격자에게 노출될 수 있습니다. 이는 정상적으로 비활성화된 에러 메시지가 의도치 않게 사용자에게 전송되는 정보 공개 취약점입니다.
💡 쉬운 설명
PHP의 오류 처리 설정이 꺼져 있어도, 특정 상황에서 프로그램의 민감한 정보가 화면에 표시되어 버립니다. 공격자가 이를 악용하여 서버의 내부 정보를 빼낼 수 있습니다.
🇺🇸 원문 (English)
The var_export function in PHP 5.2 before 5.2.14 and 5.3 before 5.3.3 flushes the output buffer to the user when certain fatal errors occur, even if display_errors is off, which allows remote attackers to obtain sensitive information by causing the application to exceed limits for memory, execution time, or recursion.
📍 영향받는 시스템
PHP 5.2 < 5.2.14, PHP 5.3 < 5.3.3
⚔️ 공격 벡터
의도적으로 메모리 초과/무한 재귀/시간 초과를 유발하여 에러 정보 노출
🛡️ 대응 방법
PHP를 5.2.14 이상 또는 5.3.3 이상으로 업그레이드
🔧 검증 코드
PHP 버전이 5.2.14 미만 또는 5.3.3 미만이면 취약 버전이고, 이상 버전이면 패치됨
php -v | grep -E 'PHP 5\.[23]' && echo 'Vulnerable version' || echo 'Check version manually'