🇰🇷 한글 설명
PHP 5.3.9 이전의 타임존 기능에서 메모리 누수 취약점이 존재합니다. 다중 strtotime 함수 호출 시 php_date_parse_tzfile 캐시가 메모리를 제대로 해제하지 못하여 메모리 누수가 발생합니다. 원격 공격자가 이를 악용하여 서비스 거부 공격을 수행할 수 있습니다.
💡 쉬운 설명
PHP 웹서버의 시간 처리 기능에 메모리 누수 버그가 있어 공격자가 특정 요청을 반복하면 서버 메모리를 전부 소비하게 만들 수 있습니다. 이로 인해 서버가 매우 느려지거나 완전히 작동하지 않게 됩니다.
🇺🇸 원문 (English)
Memory leak in the timezone functionality in PHP before 5.3.9 allows remote attackers to cause a denial of service (memory consumption) by triggering many strtotime function calls, which are not properly handled by the php_date_parse_tzfile cache.
📍 영향받는 시스템
PHP 5.3.9 이전 모든 버전 (5.3.0~5.3.8, 5.2.x, 5.1.x 등)
⚔️ 공격 벡터
원격 공격자가 strtotime 함수를 호출하는 엔드포인트에 대해 대량의 요청을 전송하여 메모리 누수 유발
🛡️ 대응 방법
PHP를 5.3.9 이상 또는 5.2.17 이상 버전으로 즉시 업그레이드
🔧 검증 코드
PHP 버전이 5.3.9 미만이면 취약하며, 5.3.9 이상이면 패치됨
php -v 2>/dev/null | grep -oP 'PHP \K[0-9]+\.[0-9]+\.[0-9]+'