🇰🇷 한글 설명
PHP 5.3.9부터 5.3.13 버전의 openssl_encrypt 함수에서 특정 변수가 초기화되지 않는 취약점입니다. 원격 공격자가 0바이트 입력 데이터를 전송하여 프로세스 메모리의 민감한 정보를 획득할 수 있습니다.
💡 쉬운 설명
PHP 암호화 함수에 버그가 있어서 메모리의 비밀 정보가 새나갈 수 있습니다. 공격자가 특정 방식으로 요청을 보내면 서버의 개인정보나 비밀키 같은 민감 데이터를 볼 수 있습니다.
🇺🇸 원문 (English)
The openssl_encrypt function in ext/openssl/openssl.c in PHP 5.3.9 through 5.3.13 does not initialize a certain variable, which allows remote attackers to obtain sensitive information from process memory by providing zero bytes of input data.
📍 영향받는 시스템
PHP 5.3.9, 5.3.10, 5.3.11, 5.3.12, 5.3.13
⚔️ 공격 벡터
원격 공격자가 openssl_encrypt() 함수에 0바이트 입력을 전송하여 초기화되지 않은 메모리 정보 유출
🛡️ 대응 방법
PHP를 5.3.14 이상으로 업그레이드
🔧 검증 코드
vulnerable이 출력되면 취약 버전 설치, safe가 출력되면 안전
php -v 2>/dev/null | grep -E 'PHP 5.3.(9|10|11|12|13)' && echo 'vulnerable' || echo 'safe'