🇰🇷 한글 설명
Auth0-PHP SDK 8.0.0 버전부터 8.19.0 이전 버전에서 쿠키 암호화 시 엔트로피가 부족한 취약점이 발견되었습니다. 이로 인해 공격자가 암호화 키를 무차별 대입하여 세션 쿠키를 위조할 수 있으며, 해당 문제는 8.19.0 버전에서 해결되었습니다.
💡 쉬운 설명
로그인 상태를 유지하는 쿠키의 암호가 너무 단순해서 해커가 이를 알아낼 위험이 있습니다. 해커가 암호를 풀면 다른 사용자의 계정으로 무단 접속할 수 있습니다.
🇺🇸 원문 (English)
Auth0-PHP is a PHP SDK for Auth0 Authentication and Management APIs. From version 8.0.0 to before version 8.19.0, in applications built with the Auth0 PHP SDK, cookies are encrypted with insufficient entropy, which may result in threat actors brute-forcing the encryption key and forging session cookies. This issue has been patched in version 8.19.0.
📍 영향받는 시스템
Auth0-PHP SDK v8.0.0 ~ v8.18.x
⚔️ 공격 벡터
부족한 엔트로피를 이용한 암호화 키 무차별 대입 및 세션 쿠키 위조
🛡️ 대응 방법
Auth0-PHP SDK를 8.19.0 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 숫자가 8.19.0보다 낮으면 업데이트가 필요합니다.
composer show auth0/auth0-php | grep -E 'versions?[: ]+'