🇰🇷 한글 설명
PHP의 locale_get_display_name() 함수에서 ICU 라이브러리 호출 시 입력값을 제대로 검증하지 않아 버퍼 오버플로우가 발생합니다. 긴 첫 번째 인자를 전달하여 원격에서 서비스 거부 또는 임의 코드 실행이 가능합니다.
💡 쉬운 설명
PHP의 언어/지역 정보 조회 함수에 매우 긴 텍스트를 입력하면 프로그램이 충돌하거나 악의적인 코드가 실행될 수 있습니다. 이는 웹사이트의 사용자 입력을 처리할 때 특히 위험합니다.
🇺🇸 원문 (English)
The get_icu_disp_value_src_php function in ext/intl/locale/locale_methods.c in PHP before 5.3.29, 5.4.x before 5.4.30, and 5.5.x before 5.5.14 does not properly restrict calls to the ICU uresbund.cpp component, which allows remote attackers to cause a denial of service (buffer overflow) or possibly have unspecified other impact via a locale_get_display_name call with a long first argument.
📍 영향받는 시스템
PHP 5.3 ~ 5.3.28, PHP 5.4 ~ 5.4.29, PHP 5.5 ~ 5.5.13
⚔️ 공격 벡터
locale_get_display_name() 함수에 충분히 긴 문자열 인자를 전달하여 원격에서 비인증 공격
🛡️ 대응 방법
PHP를 5.3.29, 5.4.30, 5.5.14 이상으로 업그레이드
🔧 검증 코드
설치된 PHP 버전이 영향받는 범위에 있으면 업그레이드 필요. 버전이 위의 최소 버전(5.3.29/5.4.30/5.5.14) 이상이면 안전함
php -v | grep -E 'PHP (5\.[345]\.[0-9]+)' && echo 'Check version against CVE'