🇰🇷 한글 설명
Drupal 8 개발 의존성에 포함된 서드파티 라이브러리(phpunit)의 원격 코드 실행 취약점입니다. 기본 .htaccess 보호로 완화되지만 프로덕션에 개발 파일이 노출되면 공격 가능합니다. Drupal 8.2.2 이전 버전 사용자는 vendor/phpunit 디렉토리 제거 필수입니다.
💡 쉬운 설명
Drupal의 개발 도구에 심각한 보안 결함이 있어 공격자가 서버를 완전히 제어할 수 있습니다. 프로덕션 서버에서 개발 관련 파일을 삭제하면 대부분의 위험이 제거됩니다.
🇺🇸 원문 (English)
A 3rd party development library including with Drupal 8 development dependencies is vulnerable to remote code execution. This is mitigated by the default .htaccess protection against PHP execution, and the fact that Composer development dependencies aren't normal installed. You might be vulnerable to this if you are running a version of Drupal before 8.2.2. To be sure you aren't vulnerable, you can remove the <siteroot>/vendor/phpunit directory from your production deployments
📍 영향받는 시스템
Drupal 8 < 8.2.2 (phpunit 라이브러리 포함된 버전)
⚔️ 공격 벡터
프로덕션 환경에 노출된 vendor/phpunit 디렉토리를 통한 원격 코드 실행
🛡️ 대응 방법
Drupal을 8.2.2 이상으로 업그레이드하거나 프로덕션 배포에서 /vendor/phpunit 디렉토리 제거
🔧 검증 코드
결과가 0이면 안전, 1 이상이면 phpunit 디렉토리 존재하여 제거 필요
find . -path '*/vendor/phpunit' -type d 2>/dev/null | wc -l