🇰🇷 한글 설명
MixPHP Framework 2.x ~ 2.2.17의 sync-invoke TCP 서버가 사용자 입력을 검증 없이 PHP 역직렬화 함수에 전달하여 임의 코드 실행이 가능합니다. localhost TCP 포트에 접근 가능한 공격자가 조작된 PHP closure 객체를 전송하여 서버 권한으로 명령을 실행할 수 있습니다.
💡 쉬운 설명
MixPHP 프레임워크의 네트워크 서비스가 신뢰할 수 없는 데이터를 검사 없이 처리합니다. 이를 통해 공격자가 서버에서 원하는 프로그램을 실행할 수 있습니다.
🇺🇸 원문 (English)
Unsafe deserialization vulnerability in MixPHP Framework 2.x thru 2.2.17. The sync-invoke TCP server (Server.php:87) receives data from a TCP socket, passes it directly to Opis\Closure\unserialize(), then executes the result via call_user_func(). No authentication or signature verification exists on the TCP connection. An attacker with access to the localhost TCP port (server binds 127.0.0.1) can send a crafted serialized PHP closure to achieve arbitrary code execution.
📍 영향받는 시스템
MixPHP Framework 2.0 ~ 2.2.17
⚔️ 공격 벡터
TCP 포트(기본값 127.0.0.1)에 접근하여 조작된 PHP 직렬화 객체 전송
🛡️ 대응 방법
MixPHP Framework를 2.2.18 이상으로 업그레이드하거나 TCP 포트 접근 제한
🔧 검증 코드
출력된 버전이 2.2.17 이하면 취약, 2.2.18 이상이면 패치됨
composer show mixphp/mixphp 2>/dev/null | grep -i version