🇰🇷 한글 설명
DDEV는 PHP와 Node.js 개발 환경을 관리하는 오픈소스 도구인데, 1.25.2 이전 버전에서 아카이브 파일(tar, zip)을 추출할 때 경로를 검증하지 않습니다. 이로 인해 악의적으로 조작된 아카이브 파일을 통해 경로 탈출 공격으로 시스템 파일을 덮어쓸 수 있습니다.
💡 쉬운 설명
DDEV는 개발자가 컴퓨터에서 웹사이트를 테스트할 때 쓰는 도구입니다. 인터넷에서 파일을 받을 때 그 파일이 안전한지 확인하지 않아서, 악의적인 파일이 중요한 시스템 파일을 손상시킬 수 있습니다.
🇺🇸 원문 (English)
DDEV is an open-source tool for running local web development environments for PHP and Node.js. Versions prior to 1.25.2 have unsanitized extraction in both `Untar()` and `Unzip()` functions in `pkg/archive/archive.go`. Downloads and extracts archives from remote sources without path validation. Version 1.25.2 patches the issue.
📍 영향받는 시스템
DDEV 1.25.2 미만 버전 (PHP, Node.js 개발 환경)
⚔️ 공격 벡터
경로 탈출(Path Traversal) 공격: 상위 디렉터리로 이동하는 경로명이 포함된 악의적 tar/zip 파일이 검증 없이 추출됨
🛡️ 대응 방법
DDEV를 1.25.2 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 1.25.2 이상이면 패치됨, 1.25.2 미만이면 취약함
ddev --version | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'