🇰🇷 한글 설명
PHP의 Exception 객체에서 입력 검증이 부족하여 조작된 직렬화 데이터를 통해 NULL 포인터 참조 또는 의도하지 않은 메서드 실행이 발생할 수 있는 취약점입니다. 원격 공격자가 이를 악용하여 서비스 거부(DoS) 공격을 수행하거나 임의의 메서드 실행을 유발할 수 있습니다.
💡 쉬운 설명
PHP 5.6 이전 버전에서 특수하게 만들어진 데이터를 전송하면 웹 서버가 충돌하거나 정상적이지 않은 동작을 할 수 있습니다. 이는 serialized 데이터(직렬화된 객체)의 검증 부재로 인한 문제입니다.
🇺🇸 원문 (English)
Zend/zend_exceptions.c in PHP before 5.4.44, 5.5.x before 5.5.28, and 5.6.x before 5.6.12 does not validate certain Exception objects, which allows remote attackers to cause a denial of service (NULL pointer dereference and application crash) or trigger unintended method execution via crafted serialized data.
📍 영향받는 시스템
PHP 5.4 < 5.4.44, PHP 5.5 < 5.5.28, PHP 5.6 < 5.6.12
⚔️ 공격 벡터
원격 공격자가 조작된 직렬화된 Exception 객체 데이터를 서버에 전송
🛡️ 대응 방법
PHP를 5.4.44, 5.5.28, 5.6.12 이상으로 업그레이드
🔧 검증 코드
현재 PHP 버전이 취약한 범위(5.4.44 미만, 5.5.28 미만, 5.6.12 미만)에 해당하면 패치 필요
php -v | grep -oE '(5\.[456]\.[0-9]+|5\.(4\.([0-3][0-9]|4[0-3])|5\.([0-1][0-9]|2[0-7])|6\.[0-9]|6\.1[0-1]))'