🇰🇷 한글 설명
PHP의 exif 확장 모듈에서 JPEG 이미지의 IFD(Image File Directory) 크기를 검증하지 않는 취약점입니다. 공격자가 조작된 JPEG 헤더를 전송하여 메모리 범위를 벗어난 읽기를 유발할 수 있으며, 이를 통해 서비스 거부 또는 임의 코드 실행 등의 피해를 입힐 수 있습니다.
💡 쉬운 설명
PHP가 사진 파일의 정보를 읽을 때 정보 크기를 제대로 검증하지 않아 발생하는 문제입니다. 공격자가 조작된 사진을 업로드하면 서버가 다운되거나 해킹될 수 있습니다.
🇺🇸 원문 (English)
The exif_process_IFD_in_JPEG function in ext/exif/exif.c in PHP before 5.5.35, 5.6.x before 5.6.21, and 7.x before 7.0.6 does not validate IFD sizes, which allows remote attackers to cause a denial of service (out-of-bounds read) or possibly have unspecified other impact via crafted header data.
📍 영향받는 시스템
PHP 5.5.35 이전, 5.6.x (5.6.21 이전), 7.0.x (7.0.6 이전)
⚔️ 공격 벡터
조작된 JPEG 헤더 데이터를 포함한 이미지 파일을 업로드하여 원격에서 취약점 공격
🛡️ 대응 방법
PHP를 5.5.35, 5.6.21, 또는 7.0.6 이상의 버전으로 즉시 업그레이드
🔧 검증 코드
현재 PHP 버전이 안전한 버전(5.5.35+, 5.6.21+, 7.0.6+)인지 확인
php -v | grep -oE 'PHP [0-9]+\.[0-9]+\.[0-9]+'