🇰🇷 한글 설명
Symfony의 validator 모듈에서 정규식의 `$` 메타문자를 이용한 유효성 검사 우회 취약점입니다. 입력 값 끝에 개행문자(`\n`)를 추가하면 정규식 검증을 우회할 수 있으며, 의도되지 않은 데이터가 애플리케이션에 진입할 수 있습니다. 수정된 버전에서는 `D` 정규식 수정자를 사용하여 전체 입력을 정확히 매칭합니다.
💡 쉬운 설명
Symfony의 유효성 검사 기능에서 줄바꿈 문자를 이용해 보안 검사를 우회할 수 있는 취약점입니다. 악의적인 사용자가 입력 값을 조작하여 검증 규칙을 피할 수 있습니다.
🇺🇸 원문 (English)
symfony/validator is a module for the Symphony PHP framework which provides tools to validate values. It is possible to trick a `Validator` configured with a regular expression using the `$` metacharacters, with an input ending with `\n`. Symfony as of versions 5.4.43, 6.4.11, and 7.1.4 now uses the `D` regex modifier to match the entire input. Users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
Symfony 5.4.43 미만, 6.4.11 미만, 7.1.4 미만의 symfony/validator 모듈
⚔️ 공격 벡터
정규식 검증이 설정된 필드에 개행문자(`\n`)를 포함한 입력을 제공하여 검증 우회
🛡️ 대응 방법
Symfony를 5.4.43, 6.4.11, 7.1.4 이상으로 업그레이드 (composer update symfony/validator)
🔧 검증 코드
설치된 symfony/validator 버전이 5.4.43, 6.4.11, 7.1.4 이상인지 확인하고 그 이하면 업그레이드 필요
composer show symfony/validator 2>/dev/null | grep -i version