🇰🇷 한글 설명
PHP 5.3.2와 5.3.3의 MySQLi 확장에서 set_magic_quotes_runtime 함수가 mysqli_fetch_assoc 함수와의 상호작용을 제대로 처리하지 못하여 SQL 주입 공격을 가능하게 하는 취약점입니다. 이전 PHP 버전에서는 제대로 처리되었던 입력이 공격에 악용될 수 있습니다.
💡 쉬운 설명
PHP의 특정 버전에서 데이터베이스 보안 기능이 제대로 작동하지 않아 해커가 잘못된 입력으로 데이터베이스를 공격할 수 있게 됩니다. 이는 이전 버전에서는 작동했던 보안 기능이 새 버전에서 깨진 문제입니다.
🇺🇸 원문 (English)
The set_magic_quotes_runtime function in PHP 5.3.2 and 5.3.3, when the MySQLi extension is used, does not properly interact with use of the mysqli_fetch_assoc function, which might make it easier for context-dependent attackers to conduct SQL injection attacks via crafted input that had been properly handled in earlier PHP versions.
📍 영향받는 시스템
PHP 5.3.2, 5.3.3 (MySQLi 확장 포함)
⚔️ 공격 벡터
특별히 제작된 입력을 mysqli_fetch_assoc 함수에 전달하여 SQL 주입 공격 수행
🛡️ 대응 방법
PHP를 5.3.1 이하 또는 5.3.4 이상으로 업그레이드
🔧 검증 코드
결과에 5.3.2 또는 5.3.3이 표시되면 취약한 버전임, 표시되지 않으면 안전함
php -v 2>/dev/null | grep -oE '5\.3\.[23]'