🇰🇷 한글 설명
PHP의 Intl 확장에서 NumberFormatter::setSymbol 함수가 유효하지 않은 인자를 처리할 때 애플리케이션 충돌을 일으키는 취약점입니다. PHP 5.3.6 이전 버전에서 발생하며 서비스 거부 공격에 악용될 수 있습니다.
💡 쉬운 설명
PHP 프로그램의 숫자 포맷팅 기능에서 잘못된 값을 받으면 프로그램이 갑자기 멈춥니다. 공격자가 이를 악용하여 웹사이트나 애플리케이션을 사용 불가능하게 만들 수 있습니다.
🇺🇸 원문 (English)
Unspecified vulnerability in the NumberFormatter::setSymbol (aka numfmt_set_symbol) function in the Intl extension in PHP before 5.3.6 allows context-dependent attackers to cause a denial of service (application crash) via an invalid argument, a related issue to CVE-2010-4409.
📍 영향받는 시스템
PHP < 5.3.6 (Intl 확장 포함)
⚔️ 공격 벡터
NumberFormatter::setSymbol 함수에 의도적으로 유효하지 않은 인자를 전달하여 애플리케이션 충돌 유발
🛡️ 대응 방법
PHP를 5.3.6 이상으로 업그레이드하거나 Intl 확장을 비활성화
🔧 검증 코드
PHP 버전이 5.3.6 이상으로 표시되면 취약점이 패치된 상태입니다.
php -v | grep -oP 'PHP \K[0-9]+\.[0-9]+\.[0-9]+'