🇰🇷 한글 설명
MediaWiki에서 HHVM 또는 Zend PHP 환경에서 XML 엔티티 정의를 악용하는 취약점입니다. 장문의 치환 텍스트와 다수의 엔티티 참조를 포함한 XML 파일을 처리할 때 이차 폭증(quadratic blowup)으로 인해 메모리 소비가 급증하여 서비스 거부를 유발할 수 있습니다.
💡 쉬운 설명
MediaWiki가 특수하게 조작된 XML 파일을 처리할 때 서버 메모리를 과다 소비하여 서비스가 중단되는 문제입니다. 공격자가 악의적인 XML 파일을 제출하여 웹사이트를 사용 불가능하게 만들 수 있습니다.
🇺🇸 원문 (English)
MediaWiki before 1.19.24, 1.2x before 1.23.9, and 1.24.x before 1.24.2, when using HHVM or Zend PHP, allows remote attackers to cause a denial of service ("quadratic blowup" and memory consumption) via an XML file containing an entity declaration with long replacement text and many references to this entity, a different vulnerability than CVE-2015-2942.
📍 영향받는 시스템
MediaWiki 1.19.24 이전, 1.23.x 중 1.23.9 이전, 1.24.x 중 1.24.2 이전 (HHVM 또는 Zend PHP 환경)
⚔️ 공격 벡터
악의적인 XML 파일을 업로드하거나 제출하여 엔티티 확장으로 인한 메모리 폭증 유발
🛡️ 대응 방법
MediaWiki를 1.19.24, 1.23.9, 또는 1.24.2 이상으로 업데이트
🔧 검증 코드
출력된 버전을 확인하여 영향받는 버전 범위를 벗어났는지 확인합니다 (1.19.24 이상, 1.23.9 이상, 또는 1.24.2 이상).
grep -E '\$wgVersion' /var/www/html/mediawiki/includes/DefaultSettings.php 2>/dev/null | head -1