🇰🇷 한글 설명
Symfony 프레임워크의 UrlSanitizer::parse() 함수가 유니코드 BiDi(양방향) 제어 문자를 제대로 필터링하지 못하는 취약점이 발견되었습니다. 이로 인해 href 및 src 속성에 포함된 링크의 실제 목적지와 시각적으로 표시되는 목적지가 다르게 나타날 수 있습니다. 공격자는 이를 이용해 피싱 공격과 같은 시각적 스푸핑을 수행할 수 있습니다.
💡 쉬운 설명
웹사이트의 링크 주소를 눈에 보이는 것과 다르게 조작할 수 있는 보안 결함입니다. 사용자는 정상적인 주소로 보이는 링크를 클릭했지만, 실제로는 악성 사이트로 연결될 위험이 있습니다.
🇺🇸 원문 (English)
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. From 6.1.0-BETA1 until 6.4.40, 7.4.12, and 8.0.12, UrlSanitizer::parse() passes Unicode explicit-direction BiDi formatting characters through into sanitized href and src attributes, allowing sanitized content to display a link destination that visually differs from the actual destination and enabling phishing-style visual spoofing. This issue is fixed in versions 6.4.40, 7.4.12, and 8.0.12.
📍 영향받는 시스템
Symfony 6.1.0-BETA1 ~ 6.4.39, 7.4.11 이하, 8.0.11 이하
⚔️ 공격 벡터
유니코드 방향 제어 문자를 포함한 악성 URL을 입력하여 링크의 시각적 표시를 조작함
🛡️ 대응 방법
Symfony를 버전 6.4.40, 7.4.12 또는 8.0.12 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약 버전 범위(6.4.40 미만, 7.4.12 미만, 8.0.12 미만)에 해당하는지 확인합니다.
composer show symfony/symfony | grep 'versions'