🇰🇷 한글 설명
PCRE 라이브러리의 정규표현식 컴파일 함수에서 인덱스 범위 검증 오류로 인해 메모리 영역 외 접근이 발생합니다. 원격 공격자가 특수하게 조작된 정규표현식을 전달하여 응용 프로그램 충돌을 유발할 수 있습니다.
💡 쉬운 설명
PCRE 라이브러리가 복잡한 정규표현식을 처리할 때 메모리 범위를 제대로 확인하지 않아 프로그램이 잘못된 메모리에 접근합니다. 이를 악용하면 누구든 간단한 정규표현식만으로 해당 라이브러리를 사용하는 프로그램을 중단시킬 수 있습니다.
🇺🇸 원문 (English)
The compile_bracket_matchingpath function in pcre_jit_compile.c in PCRE through 8.x before revision 1680 (e.g., the PHP 7.1.1 bundled version) allows remote attackers to cause a denial of service (out-of-bounds read and application crash) via a crafted regular expression.
📍 영향받는 시스템
PCRE 8.x 이전 버전, PHP 7.1.1 번들 PCRE, nginx 정규표현식 필터 등
⚔️ 공격 벡터
악의적으로 구성된 정규표현식을 입력으로 전달하여 함수 호출 유도
🛡️ 대응 방법
PCRE를 1680 리비전 이후 버전으로 업그레이드하거나 PHP 7.1.2 이상으로 업데이트
🔧 검증 코드
PCRE 버전이 8.40 이상이면 안전하며, PHP 사용 시 버전이 7.1.2 이상이어야 합니다
pcre-config --version 2>/dev/null || php -r 'echo PCRE_VERSION;' 2>/dev/null || grep -i 'version.*pcre' /usr/share/doc/libpcre3/changelog.Debian.gz 2>/dev/null | head -1