🇰🇷 한글 설명
PHP의 PDO 확장에서 prepared statement 파싱 시 쿼리 문자열의 끝을 올바르게 인식하지 못하는 버그입니다. 악의적인 파라미터 값으로 인해 메모리 범위 밖을 읽으며 애플리케이션이 강제 종료될 수 있습니다.
💡 쉬운 설명
PHP에서 데이터베이스와 통신하는 PDO 도구가 특정 입력값을 잘못 해석합니다. 공격자가 이를 악용하면 웹사이트가 갑자기 중단될 수 있습니다.
🇺🇸 원문 (English)
pdo_sql_parser.re in the PDO extension in PHP before 5.3.14 and 5.4.x before 5.4.4 does not properly determine the end of the query string during parsing of prepared statements, which allows remote attackers to cause a denial of service (out-of-bounds read and application crash) via a crafted parameter value.
📍 영향받는 시스템
PHP 5.3.14 미만, PHP 5.4.0~5.4.3 버전
⚔️ 공격 벡터
prepared statement 파라미터에 특별히 제작된 문자열을 입력하여 원격 DoS 공격 수행
🛡️ 대응 방법
PHP를 5.3.14 이상 또는 5.4.4 이상으로 업그레이드
🔧 검증 코드
버전 정보가 출력되면 5.3.14 이상 또는 5.4.4 이상 버전인지 확인하여 취약점 해결 여부 판단
php -v | grep -E 'PHP (5\.[34]|5\.3\.(1[4-9]|[2-9][0-9])|5\.4\.[4-9])'