🇰🇷 한글 설명
PHP 7.0.0 이전의 PHP 7.x 버전에서 str_ireplace 함수의 3번째 인자를 통해 원격 공격자가 임의의 코드를 실행할 수 있는 취약점입니다. php_str_replace_in_subject 함수에서 입력값 검증 부족으로 발생합니다.
💡 쉬운 설명
PHP의 str_ireplace 함수에서 특정 방식의 입력값을 보내면 서버에서 공격자의 코드를 실행하게 됩니다. 이는 웹서버 전체를 장악할 수 있는 심각한 보안 문제입니다.
🇺🇸 원문 (English)
The php_str_replace_in_subject function in ext/standard/string.c in PHP 7.x before 7.0.0 allows remote attackers to execute arbitrary code via a crafted value in the third argument to the str_ireplace function.
📍 영향받는 시스템
PHP 7.0.0 미만의 모든 PHP 7.x 버전
⚔️ 공격 벡터
HTTP 요청을 통해 str_ireplace 함수의 세 번째 인자에 특별하게 구성된 값을 전달하여 원격 코드 실행
🛡️ 대응 방법
PHP를 7.0.0 이상으로 업그레이드하거나 패치된 버전으로 업데이트
🔧 검증 코드
PHP 버전이 7.0.0 이상이면 취약점 해결됨. 7.0.0 미만이면 즉시 업그레이드 필요
php -v | grep -oP 'PHP \d+\.\d+\.\d+' && echo 'Check if version is 7.0.0 or higher'