🇰🇷 한글 설명
PHP 5.3.27 이전 버전의 XML 파서에서 깊이 검증이 부족하여 발생하는 취약점입니다. xml_parse_into_struct 함수로 과도하게 중첩된 XML을 처리할 때 힙 메모리 손상으로 인한 서비스 거부 또는 임의 코드 실행이 가능합니다.
💡 쉬운 설명
PHP가 XML 파일을 처리할 때 너무 복잡한 구조를 감당하지 못해 프로그램이 충돌합니다. 공격자가 의도적으로 복잡한 XML을 보내면 서버가 다운될 수 있습니다.
🇺🇸 원문 (English)
ext/xml/xml.c in PHP before 5.3.27 does not properly consider parsing depth, which allows remote attackers to cause a denial of service (heap memory corruption) or possibly have unspecified other impact via a crafted document that is processed by the xml_parse_into_struct function.
📍 영향받는 시스템
PHP 5.3.26 이하 모든 버전 (5.2.x, 5.3.0-5.3.26)
⚔️ 공격 벡터
원격 공격자가 깊게 중첩된 XML 문서를 xml_parse_into_struct 함수로 파싱하도록 유도
🛡️ 대응 방법
PHP를 5.3.27, 5.4.17, 5.5.1 이상으로 업그레이드
🔧 검증 코드
출력된 PHP 버전이 5.3.27 미만이면 취약; 5.3.27 이상이면 패치됨
php -v 2>/dev/null | grep -oP 'PHP \K[0-9]+\.[0-9]+\.[0-9]+'