🇰🇷 한글 설명
PHP의 WDDX 라이브러리에서 불완전한 XML 파싱으로 인해 악성 형식의 WDDX 패킷이 NULL 포인터 역참조를 유발합니다. 이를 통해 애플리케이션 충돌이나 임의 코드 실행이 가능합니다.
💡 쉬운 설명
PHP가 손상된 XML 데이터를 처리할 때 충돌하는 문제입니다. 공격자가 특수하게 만든 데이터를 보내면 웹 서버가 멈출 수 있습니다.
🇺🇸 원문 (English)
ext/wddx/wddx.c in PHP before 5.6.25 and 7.x before 7.0.10 allows remote attackers to cause a denial of service (NULL pointer dereference and application crash) or possibly have unspecified other impact via a malformed wddxPacket XML document that is mishandled in a wddx_deserialize call, as demonstrated by a tag that lacks a < (less than) character.
📍 영향받는 시스템
PHP 5.6.25 이전, PHP 7.0.10 이전 버전
⚔️ 공격 벡터
악성 WDDX XML 패킷을 wddx_deserialize 함수에 전달하여 DoS 유발
🛡️ 대응 방법
PHP를 5.6.25 이상 또는 7.0.10 이상으로 업그레이드
🔧 검증 코드
PHP 버전이 5.6.25 이상 또는 7.0.10 이상이면 안전하며, 그 이하 버전이면 취약합니다.
php -v | grep -oE 'PHP [0-9]+\.[0-9]+\.[0-9]+'