🇰🇷 한글 설명
PHP의 SOAP 확장 모듈에서 쿠키 데이터 처리 시 타입 혼동 취약점이 존재합니다. 공격자가 조작된 직렬화된 _cookies 데이터를 전송하여 프로세스 메모리의 민감한 정보를 획득하거나 애플리케이션 충돌을 유발할 수 있습니다.
💡 쉬운 설명
PHP의 웹 서비스(SOAP) 기능에서 쿠키 정보를 잘못 처리해서 개인정보가 유출되거나 서비스가 중단될 수 있습니다. PHP 버전을 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
The make_http_soap_request function in ext/soap/php_http.c in PHP before 5.4.44, 5.5.x before 5.5.28, 5.6.x before 5.6.12, and 7.x before 7.0.4 allows remote attackers to obtain sensitive information from process memory or cause a denial of service (type confusion and application crash) via crafted serialized _cookies data, related to the SoapClient::__call method in ext/soap/soap.c.
📍 영향받는 시스템
PHP 5.4.44 이전, 5.5.28 이전, 5.6.12 이전, 7.0.4 이전 버전 (SOAP 확장 활성화된 경우)
⚔️ 공격 벡터
조작된 serialized _cookies 데이터를 SoapClient로 전송하여 원격에서 공격 가능
🛡️ 대응 방법
PHP를 5.4.44, 5.5.28, 5.6.12, 7.0.4 이상으로 업그레이드
🔧 검증 코드
PHP 버전 확인 후, 취약한 버전(5.4<44, 5.5<28, 5.6<12, 7.0<4)이면 업그레이드 필요
php -v | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'