🇰🇷 한글 설명
Magento CE 및 EE 2.0.6 이전 버전에서 직렬화된 쇼핑 카트 데이터를 통해 PHP 객체 주입(Object Injection) 공격이 가능합니다. 공격자는 악의적인 직렬화 데이터를 조작하여 임의의 PHP 코드를 원격으로 실행할 수 있습니다.
💡 쉬운 설명
Magento 온라인 쇼핑몰의 장바구니 기능에 보안 구멍이 있어서, 해커가 특수하게 만든 데이터를 보내면 서버에서 자기 마음대로 프로그램을 실행시킬 수 있습니다. 이는 매우 위험하므로 시스템 전체가 장악될 수 있습니다.
🇺🇸 원문 (English)
Magento CE and EE before 2.0.6 allows remote attackers to conduct PHP objection injection attacks and execute arbitrary PHP code via crafted serialized shopping cart data.
📍 영향받는 시스템
Magento Community Edition (CE) 및 Enterprise Edition (EE) 2.0.6 이전 버전
⚔️ 공격 벡터
POST 요청을 통해 조작된 직렬화 쇼핑 카트 데이터를 전송하여 unserialize() 함수의 취약점 악용
🛡️ 대응 방법
Magento를 2.0.6 이상으로 즉시 업그레이드하고, 그 전까지는 사용자 입력 데이터에 대한 검증 및 직렬화 함수 사용 최소화
🔧 검증 코드
Magento 설치 경로에서 unserialize() 함수 사용 부분을 확인하고, 버전 확인은 setup/module-version.txt 또는 composer.lock에서 버전을 조회
grep -r "unserialize" /path/to/magento/app --include="*.php" 2>/dev/null | head -5