🇰🇷 한글 설명
Sulu PHP CMS의 SVG 파일 처리 기능에서 XML 외부 엔티티(XXE) 공격이 가능한 취약점입니다. 관리자가 악의적으로 조작된 SVG를 업로드하면 서버의 외부 데이터나 파일에 접근할 수 있습니다. 2.5.21, 2.6.5, 3.0.0-alpha1부터 영향을 받으며 2.6.9, 2.5.25, 3.0.0-alpha3에서 패치됨.
💡 쉬운 설명
Sulu 웹사이트 관리 프로그램에서 관리자가 업로드한 그림 파일(SVG)을 통해 서버의 중요한 파일들을 읽을 수 있는 보안 문제입니다. 관리자 권한이 필요하지만 위험하므로 즉시 업데이트가 필요합니다.
🇺🇸 원문 (English)
Sulu is an open-source PHP content management system based on the Symfony framework. Starting in versions 2.5.21, 2.6.5, and 3.0.0-alpha1, an admin user can upload SVG which may load external data via XML DOM library. This can be used for insecure XML External Entity References. The problem has been patched in versions 2.6.9, 2.5.25, and 3.0.0-alpha3. As a workaround, one may patch the effect file `src/Sulu/Bundle/MediaBundle/FileInspector/SvgFileInspector.php` manually.
📍 영향받는 시스템
Sulu 2.5.21, 2.6.0-2.6.8, 3.0.0-alpha1/2 버전
⚔️ 공격 벡터
관리자 계정이 XXE 페이로드가 포함된 SVG 파일을 미디어 번들로 업로드하여 SvgFileInspector에서 XML 파싱 시 외부 엔티티 로드
🛡️ 대응 방법
Sulu를 2.5.25, 2.6.9 또는 3.0.0-alpha3 이상으로 업그레이드하거나 SvgFileInspector.php에서 XXE 방지 설정 적용
🔧 검증 코드
LIBXML_NOENT 플래그 또는 XXE 방지 코드가 보이면 패치됨; composer show에서 버전 확인 시 2.5.25 이상이면 안전
grep -r 'LIBXML_NOENT\|XXE' vendor/sulu/sulu/src/Sulu/Bundle/MediaBundle/ 2>/dev/null || composer show sulu/sulu 2>/dev/null | grep -i version