🇰🇷 한글 설명
HHVM의 libxml_disable_entity_loader 함수가 libxml 핸들러를 제대로 비활성화하지 못하여 원격 공격자가 XML External Entity(XXE) 공격을 수행할 수 있는 취약점입니다. 2.4.0 이전 버전과 2.3.3 이전의 2.3.x 버전에서 발생합니다.
💡 쉬운 설명
HHVM이라는 PHP 실행 환경에서 XML 파일을 처리할 때 보안 설정이 제대로 작동하지 않아, 공격자가 악의적인 XML 파일을 보내면 서버의 파일이나 정보를 탈취할 수 있습니다. 이를 XXE 공격이라고 부릅니다.
🇺🇸 원문 (English)
The libxml_disable_entity_loader function in runtime/ext/ext_simplexml.cpp in HipHop Virtual Machine for PHP (HHVM) before 2.4.0 and 2.3.x before 2.3.3 does not properly disable a certain libxml handler, which allows remote attackers to conduct XML External Entity (XXE) attacks.
📍 영향받는 시스템
HipHop Virtual Machine (HHVM) < 2.4.0 및 2.3.x < 2.3.3
⚔️ 공격 벡터
원격 공격자가 XXE payload가 포함된 XML 데이터를 HHVM 애플리케이션으로 전송하여 파일 접근 또는 정보 유출을 시도합니다.
🛡️ 대응 방법
HHVM을 2.4.0 이상 또는 2.3.3 이상으로 업그레이드하거나, 외부 XML 엔티티 로딩을 비활성화하는 구성을 적용합니다.
🔧 검증 코드
HHVM 버전이 2.4.0 이상이면 안전, 2.3.3 미만이거나 버전이 표시되지 않으면 취약합니다.
hhvm --version 2>/dev/null | grep -oE 'HipHop VM [0-9]+\.[0-9]+\.[0-9]+'