🇰🇷 한글 설명
Oniguruma 6.2.0에서 발견된 취약점으로, Ruby 2.4.1 이하와 PHP 7.1.5 이하의 mbstring에서 사용됨. 정규표현식 검색 중 match_at() 함수에서 스택 범위 초과 읽기가 발생하며, 유효성 검사와 접근 순서의 논리적 오류로 인해 민감한 메모리 정보 노출이 가능.
💡 쉬운 설명
공격자가 악의적인 정규표현식 패턴으로 메모리의 민감한 정보를 읽을 수 있는 취약점입니다. Ruby와 PHP 애플리케이션에서 정규표현식 처리 시 메모리 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
An issue was discovered in Oniguruma 6.2.0, as used in Oniguruma-mod in Ruby through 2.4.1 and mbstring in PHP through 7.1.5. A stack out-of-bounds read occurs in match_at() during regular expression searching. A logical error involving order of validation and access in match_at() could result in an out-of-bounds read from a stack buffer.
📍 영향받는 시스템
Oniguruma 6.2.0, Ruby through 2.4.1, PHP through 7.1.5
⚔️ 공격 벡터
Specially crafted regular expression patterns triggering out-of-bounds read in match_at() function
🛡️ 대응 방법
Update Ruby to 2.5.0+, PHP to 7.1.6+, or use patched Oniguruma library
🔧 검증 코드
Ruby version 2.4.1 or lower or PHP version 7.1.5 or lower indicates vulnerability to CVE-2017-9224
ruby -v 2>/dev/null | head -1 && php -v 2>/dev/null | head -1