🔍 CVE-2016-3171

8.1
CVSS Score
HIGH
2016-04-12
2026-05-06 22:30
✅ 완료

🇰🇷 한글 설명

Drupal 6.x와 특정 PHP 버전의 상호작용에서 세션 데이터가 부정확하게 처리되어 원격 공격자가 임의의 코드를 실행할 수 있는 취약점입니다. PHP 세션 처리 로직과 Drupal의 세션 저장 메커니즘의 불일치로 인해 메모리 손상이 발생합니다. 이를 통해 공격자는 웹 서버에서 직접 PHP 코드를 실행할 수 있습니다.

💡 쉬운 설명

오래된 Drupal과 PHP를 함께 사용할 때 로그인 정보가 제대로 저장되지 않는 버그를 악용하여 해커가 웹사이트에서 자신의 코드를 실행할 수 있습니다. 웹사이트 전체가 장악될 수 있는 심각한 취약점입니다.

🇺🇸 원문 (English)

Drupal 6.x before 6.38, when used with PHP before 5.4.45, 5.5.x before 5.5.29, or 5.6.x before 5.6.13, might allow remote attackers to execute arbitrary code via vectors related to session data truncation.

📍 영향받는 시스템

Drupal 6.x (6.38 미만) + PHP 5.4.45 미만 또는 5.5.x (5.5.29 미만) 또는 5.6.x (5.6.13 미만)

⚔️ 공격 벡터

세션 데이터 truncation을 이용한 메모리 조작으로 원격 코드 실행

🛡️ 대응 방법

Drupal을 6.38 이상으로 업그레이드하고 PHP를 5.4.45, 5.5.29, 또는 5.6.13 이상으로 업데이트

🔧 검증 코드

Drupal 6.38 이상, PHP 5.4.45+ 또는 5.5.29+ 또는 5.6.13+ 이상이면 안전합니다. 더 낮은 버전이 표시되면 즉시 업그레이드하세요.

Shell / Script 
drupal_ver=$(grep -r 'VERSION = ' /var/www/html 2>/dev/null | grep -oE '[0-9]\.[0-9]+' | head -1); php_ver=$(php -v 2>/dev/null | grep -oE 'PHP [0-9]\.[0-9]\.[0-9]+' | cut -d' ' -f2); echo "Drupal: $drupal_ver, PHP: $php_ver"

📊 CVSS Vector String

CVSS Vector 
CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP