🇰🇷 한글 설명
Symfony 프레임워크의 YAML 파서가 사용자 입력을 안전하게 검증하지 못해 발생하는 취약점입니다. 악의적으로 조작된 직렬화된 PHP 객체를 Yaml::parse() 함수에 전달하면 원격 코드 실행(RCE)이 가능합니다.
💡 쉬운 설명
Symfony 웹프레임워크가 YAML 파일을 읽을 때 악의적인 데이터를 검증하지 못합니다. 공격자가 이를 이용해 서버에서 자신의 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Symfony 2.0.x before 2.0.22, 2.1.x before 2.1.7, and 2.2.x remote attackers to execute arbitrary PHP code via a serialized PHP object to the (1) Yaml::parse or (2) Yaml\Parser::parse function, a different vulnerability than CVE-2013-1348.
📍 영향받는 시스템
Symfony 2.0.x (< 2.0.22), 2.1.x (< 2.1.7), 2.2.x (모든 버전)
⚔️ 공격 벡터
사용자 입력 YAML을 Yaml::parse() 또는 Yaml\Parser::parse()로 처리할 때 직렬화된 악의적 PHP 객체 주입
🛡️ 대응 방법
Symfony를 2.0.22, 2.1.7 이상 또는 2.2.x 패치 버전으로 업그레이드
🔧 검증 코드
Symfony Yaml 컴포넌트 버전이 표시되면 영향받는 버전(2.0.22 미만, 2.1.7 미만)과 비교하여 패치 필요 여부 확인
php -r "require 'vendor/autoload.php'; echo Symfony\Component\Yaml\Yaml::VERSION;" 2>/dev/null || grep -r 'symfony/yaml' composer.lock | head -1