🇰🇷 한글 설명
Phalcon PHP 프레임워크의 라우터에서 중첩된 수량자(/.)가 포함된 PCRE 패턴이 생성되어 발생하는 취약점입니다. 공격자가 조작된 URI를 요청할 경우 치명적인 백트래킹(Catastrophic Backtracking)이 발생하여 CPU 자원이 고갈되거나 라우팅 실패가 발생할 수 있습니다.
💡 쉬운 설명
웹사이트 주소창에 특수하게 조작된 긴 주소를 입력하면 서버의 계산 능력을 마비시켜 사이트를 느리게 하거나 멈추게 할 수 있는 문제입니다. 마치 복잡한 미로 찾기를 무한 반복하게 만들어 컴퓨터를 지치게 하는 것과 같습니다.
🇺🇸 원문 (English)
Phalcon is a high-performance, full-stack PHP framework. Prior to 5.15.0, every Phalcon MVC application built with a default router registers a built-in route whose compiled PCRE pattern contains the nested quantifier (/.), and the same construct is produced by the /:params placeholder and the CLI router. Phalcon\Mvc\Router::handle() matches this pattern against the attacker-controlled request URI on every request, so a crafted path such as one containing repeated slashes followed by decoded newlines can trigger catastrophic backtracking and cause CPU exhaustion or route-matching failure. This issue is fixed in version 5.15.0.
📍 영향받는 시스템
Phalcon Framework 5.15.0 미만 버전 (MVC 및 CLI 라우터 사용 시)
⚔️ 공격 벡터
반복되는 슬래시와 디코딩된 줄바꿈 문자가 포함된 조작된 URI 요청
🛡️ 대응 방법
Phalcon 프레임워크를 5.15.0 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 5.15.0 미만인지 확인하십시오.
composer show phalcon/lang | grep -E 'versions'