🇰🇷 한글 설명
PHP의 grapheme_stripos 함수에서 음수 오프셋을 부정확하게 처리하여 메모리 범위를 초과한 읽기(out-of-bounds read)가 발생하는 취약점입니다. 원격 공격자가 이를 악용하여 서비스 거부(DoS) 또는 시스템 영향을 미칠 수 있으며, 잠재적으로 임의 코드 실행도 가능합니다.
💡 쉬운 설명
PHP 문자열 검색 함수의 버그로, 잘못된 음수 위치값을 주면 컴퓨터가 보호되지 않은 메모리를 읽으려 시도합니다. 공격자가 이를 악용해 서비스를 중단시키거나 시스템을 손상시킬 수 있습니다.
🇺🇸 원문 (English)
The grapheme_stripos function in ext/intl/grapheme/grapheme_string.c in PHP before 5.5.35, 5.6.x before 5.6.21, and 7.x before 7.0.6 allows remote attackers to cause a denial of service (out-of-bounds read) or possibly have unspecified other impact via a negative offset.
📍 영향받는 시스템
PHP 5.5.x (< 5.5.35), PHP 5.6.x (< 5.6.21), PHP 7.0.x (< 7.0.6) - intl 확장 포함 설치
⚔️ 공격 벡터
원격 공격자가 음수 오프셋을 포함한 malformed grapheme_stripos 함수 호출을 웹 애플리케이션에 전달하여 취약점 악용
🛡️ 대응 방법
PHP를 5.5.35+, 5.6.21+ 또는 7.0.6+ 버전으로 즉시 업그레이드 필요
🔧 검증 코드
출력된 PHP 버전이 5.5.35 이상, 5.6.21 이상, 7.0.6 이상 중 하나인지 확인. 미만이면 즉시 패치 필요
php -v 2>/dev/null | grep -oE 'PHP [0-9]+\.[0-9]+\.[0-9]+'