🇰🇷 한글 설명
PHP 5.3.10 이전 버전에서 환경 변수 임포트 중 magic_quotes_gpc 지시어가 제대로 임시 변경되지 않아 SQL 주입 공격이 가능합니다. 특히 CGI와 FPM SAPI에서 이 문제가 발생하여 공격자가 보안 필터를 우회할 수 있습니다.
💡 쉬운 설명
PHP 웹 서버가 입력된 데이터를 충분히 보호하지 못해서 공격자가 데이터베이스에 악의적인 명령을 주입할 수 있습니다. 웹 요청의 특정 부분을 조작하면 보안 설정이 무시됩니다.
🇺🇸 원문 (English)
PHP before 5.3.10 does not properly perform a temporary change to the magic_quotes_gpc directive during the importing of environment variables, which makes it easier for remote attackers to conduct SQL injection attacks via a crafted request, related to main/php_variables.c, sapi/cgi/cgi_main.c, and sapi/fpm/fpm/fpm_main.c.
📍 영향받는 시스템
PHP 5.3.10 이전 모든 버전 (5.2.x, 5.3.0-5.3.9 등)
⚔️ 공격 벡터
환경 변수를 포함한 HTTP 요청을 조작하여 magic_quotes_gpc 필터를 우회한 후 SQL 주입 페이로드 실행
🛡️ 대응 방법
PHP를 5.3.10 이상으로 업그레이드하거나 magic_quotes_gpc를 비활성화하고 prepared statements/parameterized queries 사용
🔧 검증 코드
표시된 PHP 버전이 5.3.10 이상인지 확인합니다. 5.3.10 미만이면 취약한 상태입니다.
php -v | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' | head -1