🇰🇷 한글 설명
PHP 5.3.9 이전 버전에서 폼 파라미터의 해시값 계산 시 해시 충돌을 의도적으로 유발할 수 있는 취약점입니다. 공격자는 많은 수의 조작된 파라미터를 전송하여 서버의 해시 테이블에서 충돌을 일으켜 처리 시간을 극대화할 수 있습니다. 이로 인해 CPU가 과도하게 소비되어 서비스 거부(DoS) 공격이 발생합니다.
💡 쉬운 설명
PHP 서버가 웹 요청의 파라미터를 처리할 때, 특정하게 만들어진 파라미터들로 인해 해시 함수가 오래 걸리도록 만들 수 있습니다. 공격자가 이를 악용하면 서버가 느려지거나 응답하지 않게 됩니다.
🇺🇸 원문 (English)
PHP before 5.3.9 computes hash values for form parameters without restricting the ability to trigger hash collisions predictably, which allows remote attackers to cause a denial of service (CPU consumption) by sending many crafted parameters.
📍 영향받는 시스템
PHP 5.3.9 이전 버전 (5.2.0~5.3.8 포함)
⚔️ 공격 벡터
HTTP POST/GET 요청을 통해 의도적으로 해시 충돌을 유발하는 파라미터 대량 전송
🛡️ 대응 방법
PHP를 5.3.9 이상 또는 5.2.17+ 로 업그레이드
🔧 검증 코드
출력된 PHP 버전이 5.3.9 이상이거나 5.2.17 이상이면 안전하고, 그 이하면 취약합니다.
php -v | grep -oP 'PHP\s+\K[0-9]+\.[0-9]+\.[0-9]+'