🇰🇷 한글 설명
PHP의 직렬화된 데이터 처리 중 대용량 배열 할당 시 정수 오버플로우가 발생하여 초기화되지 않은 메모리 영역에 접근하고 임의의 소멸자 함수 포인터를 실행할 수 있는 원격 코드 실행 취약점입니다. 공격자는 조작된 직렬화 데이터를 전송하여 대상 서버에서 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
PHP가 매우 큰 배열 데이터를 처리할 때 계산 오류가 발생하여 공격자가 원격으로 서버에 명령을 내릴 수 있는 심각한 보안 문제입니다. 웹사이트나 애플리케이션을 완전히 장악당할 수 있습니다.
🇺🇸 원문 (English)
Zend/zend_hash.c in PHP before 7.0.15 and 7.1.x before 7.1.1 mishandles certain cases that require large array allocations, which allows remote attackers to execute arbitrary code or cause a denial of service (integer overflow, uninitialized memory access, and use of arbitrary destructor function pointers) via crafted serialized data.
📍 영향받는 시스템
PHP 7.0.15 이전, PHP 7.1.x 7.1.1 이전 버전
⚔️ 공격 벡터
조작된 직렬화 데이터를 원격으로 PHP 애플리케이션에 전송 (웹 요청, 업로드 파일, API 호출 등)
🛡️ 대응 방법
PHP를 7.0.15 또는 7.1.1 이상으로 즉시 업그레이드
🔧 검증 코드
PHP 7.0.15 미만 또는 7.1.0 버전이면 VULNERABLE 출력, 그 이상 버전이면 PATCHED 출력
php -v | grep -oE '7\.(0\.[0-9]|1\.0)' && echo 'VULNERABLE' || echo 'PATCHED'