🇰🇷 한글 설명
PHP의 EXIF 처리 함수에서 malformed JPEG 이미지를 통해 메모리 손상을 야기할 수 있는 취약점입니다. 원격 공격자가 조작된 JPEG 이미지를 업로드하여 서비스 거부, 메모리 정보 유출, 또는 임의 코드 실행이 가능합니다.
💡 쉬운 설명
PHP가 손상된 사진 파일을 처리할 때 메모리를 잘못 접근하여 프로그램이 중단되거나 민감한 정보가 유출될 수 있습니다. 인터넷을 통해 특별히 만든 사진 파일을 업로드하는 것만으로 공격이 가능합니다.
🇺🇸 원문 (English)
The exif_process_IFD_in_MAKERNOTE function in ext/exif/exif.c in PHP before 5.5.38, 5.6.x before 5.6.24, and 7.x before 7.0.9 allows remote attackers to cause a denial of service (out-of-bounds array access and memory corruption), obtain sensitive information from process memory, or possibly have unspecified other impact via a crafted JPEG image.
📍 영향받는 시스템
PHP 5.5.38 미만, 5.6.0~5.6.23, 7.0.0~7.0.8 버전
⚔️ 공격 벡터
조작된 JPEG 이미지 파일을 EXIF 메타데이터와 함께 업로드하여 원격 공격 수행
🛡️ 대응 방법
PHP를 5.5.38, 5.6.24, 또는 7.0.9 이상으로 업데이트
🔧 검증 코드
출력된 버전이 5.5.38 미만, 5.6.0~5.6.23, 7.0.0~7.0.8 범위에 있으면 취약함, 5.5.38 이상, 5.6.24 이상, 7.0.9 이상이면 안전
php -v 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'