🇰🇷 한글 설명
Pimcore 플랫폼의 여러 구성 요소에서 데이터베이스 및 파일 시스템의 데이터를 처리할 때 PHP의 unserialize() 함수를 제한 없이 호출하는 취약점이 발견되었습니다. 공격자가 직렬화된 데이터를 제어할 수 있는 경우, 객체 주입을 통해 원격 코드 실행(RCE)이 가능합니다.
💡 쉬운 설명
프로그램이 데이터를 읽어올 때 검증 없이 잘못된 명령어를 포함할 수 있는 구조적 결함이 있습니다. 해커가 이 틈을 타서 서버에 몰래 명령을 내려 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
Pimcore is an Open Source Data & Experience Management Platform. Prior to 11.5.17 (LTS) and 12.3.7, multiple Pimcore locations call PHP's unserialize() on data from database columns and filesystem files without the allowed_classes restriction, including lib/Tool/Authentication.php, models/Site/Dao.php, models/DataObject/ClassDefinition/CustomLayout/Dao.php, models/Tool/TmpStore/Dao.php, models/Asset/WebDAV/Service.php, and admin-ui-classic-bundle/src/Helper/Dashboard.php, enabling object injection and remote code execution if an attacker can control the serialized data source. This issue is fixed in versions 11.5.17 (LTS) and 12.3.7.
📍 영향받는 시스템
Pimcore 11.5.17 (LTS) 미만 및 12.3.7 미만 버전
⚔️ 공격 벡터
데이터베이스 컬럼이나 파일 시스템 내의 직렬화된 데이터를 조작하여 객체 주입 공격 수행
🛡️ 대응 방법
Pimcore를 최신 보안 패치가 적용된 버전(11.5.17 LTS 또는 12.3.7 이상)으로 업데이트
🔧 검증 코드
출력된 버전 정보가 11.5.17(LTS) 또는 12.3.7보다 낮은지 확인
composer show pimcore/pimcore | grep 'versions'