🇰🇷 한글 설명
file 5.19 이전 버전의 cdf_read_property_info 함수가 스트림 오프셋을 제대로 검증하지 않아 발생하는 취약점입니다. PHP 5.4.30 이전 및 5.5.x 5.5.14 이전 버전의 Fileinfo 컴포넌트에 영향을 미치며, 공격자가 악의적으로 조작한 CDF 파일을 통해 원격으로 애플리케이션 충돌을 유발할 수 있습니다.
💡 쉬운 설명
특수하게 만든 CDF 파일이 프로그램의 파일 읽기 기능에서 검증되지 않은 위치에 접근하도록 하여 프로그램을 강제로 중단시킵니다. 이는 서비스 거부(DoS) 공격입니다.
🇺🇸 원문 (English)
The cdf_read_property_info function in file before 5.19, as used in the Fileinfo component in PHP before 5.4.30 and 5.5.x before 5.5.14, does not properly validate a stream offset, which allows remote attackers to cause a denial of service (application crash) via a crafted CDF file.
📍 영향받는 시스템
file < 5.19, PHP 5.4.30 이전, PHP 5.5.0~5.5.13 (Fileinfo 컴포넌트 포함)
⚔️ 공격 벡터
악의적으로 조작된 CDF 파일을 원격으로 전송하여 애플리케이션 프로세스 강제 중단 유발
🛡️ 대응 방법
file을 5.19 이상으로, PHP를 5.4.30 이상 또는 5.5.14 이상으로 업그레이드
🔧 검증 코드
PHP 버전 5.4.30 이상 또는 5.5.14 이상, file 버전 5.19 이상이면 패치됨
php -v | grep -oP 'PHP \K[0-9]+\.[0-9]+\.[0-9]+' && file --version | grep -oP '[0-9]+\.[0-9]+'