🇰🇷 한글 설명
Auth0-PHP SDK 버전 8.0.0-BETA3부터 8.14.0까지에서 쿠키 데이터를 안전하지 않게 역직렬화하는 취약점이 발견되었습니다. 공격자는 악의적인 직렬화 데이터가 담긴 쿠키를 전송하여 인증 없이 애플리케이션을 공격할 수 있습니다. 버전 8.3.1 이상으로 업그레이드하면 이 문제를 해결할 수 있습니다.
💡 쉬운 설명
Auth0-PHP 라이브러리가 쿠키를 처리할 때 유효성을 검증하지 않아 공격자가 악의적인 데이터를 삽입할 수 있는 문제입니다. PHP 직렬화 객체를 통해 원격 코드 실행이 가능할 수 있으므로 즉시 업데이트가 필요합니다.
🇺🇸 원문 (English)
Auth0-PHP is a PHP SDK for Auth0 Authentication and Management APIs. Versions 8.0.0-BETA3 prior to 8.3.1 contain a vulnerability due to insecure deserialization of cookie data. If exploited, since SDKs process cookie content without prior authentication, a threat actor could send a specially crafted cookie containing malicious serialized data. Applications using the Auth0-PHP SDK are affected, as are applications using the Auth0/symfony, Auth0/laravel-auth0, or Auth0/wordpress SDKs, because those SDKsrely on the Auth0-PHP SDK versions from 8.0.0-BETA3 until 8.14.0. Version 8.3.1 contains a patch for the issue.
📍 영향받는 시스템
Auth0-PHP 8.0.0-BETA3 ~ 8.14.0; Auth0/symfony, Auth0/laravel-auth0, Auth0/wordpress (Auth0-PHP에 의존)
⚔️ 공격 벡터
공격자가 악의적으로 조작된 PHP 직렬화 객체를 쿠키에 포함시켜 전송하면, 애플리케이션이 인증 없이 이를 역직렬화하여 실행
🛡️ 대응 방법
Auth0-PHP를 8.3.1 이상으로 즉시 업그레이드하고, 의존하는 모든 SDK 패키지도 함께 업데이트
🔧 검증 코드
설치된 Auth0-PHP 버전이 8.3.1 이상인지 확인하고, 8.0.0-BETA3 이상 8.14.0 이하 버전이면 취약한 상태입니다.
composer show auth0/auth0-php 2>/dev/null | grep -i version || cat composer.lock | grep -A 2 'auth0/auth0-php'