🇰🇷 한글 설명
PEAR HTML_AJAX 0.3.0~0.5.7 버전의 PHP Serializer에서 PHP 객체 주입 취약점으로 인해 원격 코드 실행이 가능합니다. 부정확한 정규표현식 처리가 원인입니다.
💡 쉬운 설명
웹 응용프로그램이 신뢰할 수 없는 데이터를 PHP 객체로 변환할 때 공격자가 임의의 코드를 실행할 수 있습니다. HTML_AJAX 라이브러리의 오류로 인해 발생합니다.
🇺🇸 원문 (English)
PEAR HTML_AJAX 0.3.0 through 0.5.7 has a PHP Object Injection Vulnerability in the PHP Serializer. It allows remote code execution. In one viewpoint, the root cause is an incorrect regular expression.
📍 영향받는 시스템
PEAR HTML_AJAX 0.3.0 ~ 0.5.7 버전을 사용하는 PHP 응용프로그램
⚔️ 공격 벡터
악의적인 직렬화된 PHP 객체를 포함한 요청을 전송하여 역직렬화 과정에서 임의의 코드 실행
🛡️ 대응 방법
HTML_AJAX를 0.5.8 이상으로 업그레이드하거나 영향받는 버전 사용 중단
🔧 검증 코드
표시되는 버전이 0.5.7 이하면 취약함. 0.5.8 이상이면 패치됨. 설치되지 않으면 영향 없음.
composer show pear/html_ajax 2>/dev/null | grep -iE 'version|installed'