🇰🇷 한글 설명
Symfony PHP 프레임워크의 Yaml 컴포넌트에서 정규 표현식의 중첩된 수량자 사용으로 인한 취약점이 발견되었습니다. 공격자가 조작된 YAML 입력을 제공할 경우 파싱 과정에서 무한 루프가 발생하여 시스템이 멈출 수 있습니다.
💡 쉬운 설명
특수하게 제작된 파일을 읽을 때 컴퓨터가 계산을 끝내지 못하고 계속 맴돌게 만드는 문제입니다. 이로 인해 웹 서비스가 응답하지 않거나 서버가 마비될 수 있습니다.
🇺🇸 원문 (English)
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 5.4.52, 6.4.40, 7.4.12, and 8.0.12, Symfony\Component\Yaml\Parser::cleanup() used regular expressions with overlapping quantifiers for YAML directive, comment, and document marker cleanup, allowing crafted input to make parsing hang for an arbitrarily long time. This issue is fixed in versions 5.4.52, 6.4.40, 7.4.12, and 8.0.12.
📍 영향받는 시스템
Symfony versions prior to 5.4.52, 6.4.40, 7.4.12, and 8.0.12
⚔️ 공격 벡터
조작된 YAML 디렉티브, 주석 또는 문서 마커가 포함된 입력값을 전달하여 발생
🛡️ 대응 방법
Symfony를 5.4.52, 6.4.40, 7.4.12 또는 8.0.12 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약점이 해결된 버전(5.4.52, 6.4.40, 7.4.12, 8.0.12 이상)인지 확인하십시오.
composer show symfony/yaml | grep 'versions'