🇰🇷 한글 설명
PHP 5.3.9 이전 버전의 PDORow 구현이 세션 기능과 제대로 상호작용하지 못하여 발생하는 취약점입니다. PDO 드라이버로 데이터를 조회한 후 session_start 함수를 호출하면 Apache 웹 서버를 포함한 애플리케이션이 강제 종료될 수 있습니다.
💡 쉬운 설명
PHP의 데이터베이스 접근 기능(PDO)과 세션 기능이 함께 사용될 때 프로그램이 멈추는 문제입니다. 이를 악용하면 웹사이트를 이용 불가능하게 만들 수 있습니다.
🇺🇸 원문 (English)
The PDORow implementation in PHP before 5.3.9 does not properly interact with the session feature, which allows remote attackers to cause a denial of service (application crash) via a crafted application that uses a PDO driver for a fetch and then calls the session_start function, as demonstrated by a crash of the Apache HTTP Server.
📍 영향받는 시스템
PHP 5.3.0 ~ 5.3.8 버전
⚔️ 공격 벡터
PDO 데이터베이스 조회 후 session_start 호출을 유도하는 원격 HTTP 요청을 통한 DoS 공격
🛡️ 대응 방법
PHP를 5.3.9 이상으로 즉시 업그레이드
🔧 검증 코드
PHP 버전이 5.3.9 미만이면 취약점이 있으며, 5.3.9 이상이면 패치됨