🇰🇷 한글 설명
PHP용 템플릿 언어인 Twig의 3.26.0 미만 버전에서 샌드박스 기능이 CPU, 메모리 또는 실행 시간 소비를 제한하지 못하는 취약점이 발견되었습니다. 이로 인해 엄격한 허용 목록(allow-list) 설정 하에서도 신뢰할 수 없는 템플릿이 시스템 자원을 고갈시킬 수 있습니다. 해당 문제는 3.26.0 버전에서 샌드박스가 자원 고갈을 방지하지 않는다는 점을 명시함으로써 해결되었습니다.
💡 쉬운 설명
나쁜 의도를 가진 사용자가 특수한 코드를 입력하여 서버의 컴퓨터 자원을 모두 써버리게 만들 수 있는 문제입니다. 이로 인해 서버가 느려지거나 멈추는 서비스 중단 현상이 발생할 수 있습니다.
🇺🇸 원문 (English)
Twig is a template language for PHP. Prior to 3.26.0, the Twig sandbox does not prevent a template from consuming CPU, memory, or wall-clock time, even under the strictest allow-list, allowing untrusted templates to cause resource exhaustion. This issue is addressed in version 3.26.0 by documenting that the sandbox does not protect against resource exhaustion.
📍 영향받는 시스템
Twig version < 3.26.0
⚔️ 공격 벡터
신뢰할 수 없는 사용자가 작성한 템플릿을 시스템에 입력하여 자원 고갈 유도
🛡️ 대응 방법
Twig 버전을 3.26.0 이상으로 업데이트하거나, 애플리케이션 레벨에서 별도의 자원 제한 로직을 구현해야 합니다.
🔧 검증 코드
출력된 버전 정보가 3.26.0 미만인지 확인합니다.
composer show twig/twig | grep 'versions'