🇰🇷 한글 설명
Composer는 PHP의 의존성 관리자인데, 2.2 버전(2.2.24 미만)과 2.7 버전(2.7.7 미만)에서 특별히 조작된 브랜치 이름을 가진 git/hg 저장소 내에서 composer install 명령을 실행할 때 명령 주입이 발생합니다. 신뢰할 수 없는 저장소를 복제할 때 공격자가 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
Composer라는 PHP 도구가 악의적으로 조작된 저장소에서 숨겨진 명령을 실행할 수 있습니다. 신뢰할 수 없는 코드를 다운로드할 때 주의하고 정기적으로 Composer를 업데이트해야 합니다.
🇺🇸 원문 (English)
Composer is a dependency manager for PHP. On the 2.x branch prior to versions 2.2.24 and 2.7.7, the `composer install` command running inside a git/hg repository which has specially crafted branch names can lead to command injection. This requires cloning untrusted repositories. Patches are available in version 2.2.24 for 2.2 LTS or 2.7.7 for mainline. As a workaround, avoid cloning potentially compromised repositories.
📍 영향받는 시스템
Composer 2.2.0~2.2.23 (LTS), 2.7.0~2.7.6 (mainline)
⚔️ 공격 벡터
특별히 조작된 브랜치 이름을 가진 git/hg 저장소를 composer install로 복제할 때 명령 주입 발생
🛡️ 대응 방법
Composer를 2.2.24(LTS) 또는 2.7.7(mainline) 이상으로 업그레이드, 또는 신뢰할 수 없는 저장소 복제 회피
🔧 검증 코드
버전 번호가 출력되면, 2.2.24 이상(2.2 LTS) 또는 2.7.7 이상(mainline)인지 확인하세요. 그 이하면 취약 상태입니다.
composer --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'