🇰🇷 한글 설명
olivier-ls PHP-FTS 1.1.3 이하 버전의 Storage.php 파일 내 TrigramIndex::open 함수에서 TOCTOU(검사 시점과 사용 시점 간 경쟁 조건) 취약점이 발견되었습니다. 공격은 로컬에서만 수행 가능하며, 1.1.4 버전으로 업그레이드하면 해결됩니다.
💡 쉬운 설명
같은 서버를 공유하는 다른 사용자가 인덱스 디렉터리에 쓰기 권한을 가진 경우, 파일 검사와 실제 사용 사이의 짧은 틈을 노려 프로그램이 엉뚱한 파일을 읽거나 쓰게 만들 수 있습니다. 원격에서 직접 악용되는 취약점은 아니며, 공유 호스팅 환경에서 방어하기 위한 보안 강화 조치에 가깝습니다.
🇺🇸 원문 (English)
A vulnerability was identified in olivier-ls PHP-FTS up to 1.1.3. This impacts the function TrigramIndex::open of the file Storage.php. Such manipulation leads to time-of-check time-of-use. The attack needs to be performed locally. Upgrading to version 1.1.4 will fix this issue. The name of the patch is 0b2fae333d6b022da7ed4c43e2d41aa03f91dff3. Upgrading the affected component is recommended. The project maintainer explains: "[T]he attack requires write access to the index directory by a user other than the one running the application. That is a real shared-hosting scenario and worth defending against, which is why it is fixed but it is a hardening measure rather than a remotely reachable vulnerability, and the "Code Execution" impact additionally assumes the symlink target is a web-served .php file."
📍 영향받는 시스템
olivier-ls PHP-FTS 1.1.3 이하 버전 (1.1.4에서 수정)
⚔️ 공격 벡터
같은 시스템의 다른 사용자가 인덱스 디렉터리에 쓰기 권한을 가진 상태에서 심볼릭 링크를 교체하는 로컬 TOCTOU 공격
🛡️ 대응 방법
PHP-FTS를 1.1.4 이상으로 업그레이드하고(패치 커밋 0b2fae333d6b022da7ed4c43e2d41aa03f91dff3 적용), 인덱스 디렉터리의 쓰기 권한을 애플리케이션 실행 사용자로만 제한합니다.
🔧 검증 코드
출력된 versions 값이 1.1.4 이상이면 패치된 것이고, 1.1.3 이하이거나 설치 정보가 없다면 취약 버전이거나 해당 패키지가 설치되지 않은 상태입니다.
composer show olivier-ls/php-fts 2>/dev/null | grep -E 'versions|name'