🇰🇷 한글 설명
PHP의 SOAP 파서에서 XML 외부 엔티티(XXE) 취약점으로 인해 공격자가 악의적인 WSDL 파일을 통해 서버의 임의 파일을 읽을 수 있습니다. soap_xmlParseFile과 soap_xmlParseMemory 함수에서 발생하며 민감한 정보 노출로 이어질 수 있습니다.
💡 쉬운 설명
PHP 웹 서버가 특수한 형식의 파일(WSDL)을 처리할 때 공격자가 조작된 파일로 서버의 비밀 파일들을 읽을 수 있는 보안 결함입니다. 집의 문이 열려있는 것을 발견한 침입자가 몰래 들어와 문서를 읽는 것과 같습니다.
🇺🇸 원문 (English)
The SOAP parser in PHP before 5.3.22 and 5.4.x before 5.4.12 allows remote attackers to read arbitrary files via a SOAP WSDL file containing an XML external entity declaration in conjunction with an entity reference, related to an XML External Entity (XXE) issue in the soap_xmlParseFile and soap_xmlParseMemory functions.
📍 영향받는 시스템
PHP 5.3.0~5.3.21, PHP 5.4.0~5.4.11
⚔️ 공격 벡터
XML 외부 엔티티 선언과 엔티티 참조를 포함한 악의적인 SOAP WSDL 파일 제공
🛡️ 대응 방법
PHP를 5.3.22 이상 또는 5.4.12 이상으로 즉시 업그레이드
🔧 검증 코드
PHP 버전이 5.3.22 미만이거나 5.4.0~5.4.11 범위에 있으면 취약하므로 업그레이드 필요
php -v | grep -oE 'PHP [0-9]+\.[0-9]+\.[0-9]+'