🇰🇷 한글 설명
Symfony PHP 프레임워크의 YAML 파서에서 컬렉션 별칭을 재귀적으로 해석하는 취약점이 발견되었습니다. 공격자가 조작된 YAML 입력을 제공할 경우, 작은 크기의 데이터가 수 기가바이트의 구조로 확장되어 시스템 메모리를 고갈시킬 수 있습니다.
💡 쉬운 설명
작은 크기의 특수한 파일을 보내 서버의 메모리를 순식간에 가득 채워 서버를 멈추게 만드는 공격입니다. 마치 종이 한 장에 적힌 '이 글자를 무한히 복사하라'는 명령을 수행하다가 종이가 산더미처럼 쌓여 방이 꽉 차는 것과 같습니다.
🇺🇸 원문 (English)
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 5.4.52, 6.4.40, 7.4.12, and 8.0.12, Symfony\Component\Yaml\Parser resolved YAML collection aliases recursively, allowing a small untrusted YAML input to expand into a multi-gigabyte structure and exhaust memory. This issue is fixed in versions 5.4.52, 6.4.40, 7.4.12, and 8.0.12.
📍 영향받는 시스템
Symfony versions prior to 5.4.52, 6.4.40, 7.4.12, and 8.0.12
⚔️ 공격 벡터
신뢰할 수 없는 사용자가 조작된 YAML 파일을 애플리케이션에 입력하여 메모리 고갈 유도
🛡️ 대응 방법
Symfony를 5.4.52, 6.4.40, 7.4.12 또는 8.0.12 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 취약점이 해결된 버전(5.4.52, 6.4.40, 7.4.12, 8.0.12 이상)인지 확인
composer show symfony/yaml | grep 'versions'