🇰🇷 한글 설명
PHP의 SPL(Standard PHP Library) unserialize() 구현에서 사용 후 해제(use-after-free) 취약점으로, 배열 필드의 오용을 유발합니다. 특별히 제작된 직렬화 데이터를 통해 원격 공격자가 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
PHP가 저장된 데이터를 복원할 때 메모리 오류가 발생하여 공격자가 악의적인 데이터를 전송할 수 있습니다. 이를 통해 서버에서 원하는 명령을 실행할 수 있게 됩니다.
🇺🇸 원문 (English)
Use-after-free vulnerability in the SPL unserialize implementation in ext/spl/spl_array.c in PHP before 5.4.44, 5.5.x before 5.5.28, and 5.6.x before 5.6.12 allows remote attackers to execute arbitrary code via crafted serialized data that triggers misuse of an array field.
📍 영향받는 시스템
PHP 5.4.44 이전, 5.5.28 이전, 5.6.12 이전 버전
⚔️ 공격 벡터
원격 공격자가 조작된 직렬화 데이터를 서버로 전송하여 SPL unserialize() 함수가 처리하도록 유도
🛡️ 대응 방법
PHP를 5.4.44, 5.5.28, 5.6.12 이상으로 업그레이드
🔧 검증 코드
출력된 PHP 버전이 5.4.44 이상, 5.5.28 이상, 또는 5.6.12 이상인지 확인하여 패치 상태 검증
php -v | grep -oE 'PHP [0-9]+\.[0-9]+\.[0-9]+'