🇰🇷 한글 설명
PHPCSUtils 1.0.0-alpha1부터 1.2.3 버전까지의 AbstractArrayDeclarationSniff::getActualArrayKey 함수에서 eval() 함수를 사용하여 공격자가 제어하는 배열 키 표현식을 평가하는 취약점이 발견되었습니다. 이로 인해 신뢰할 수 없는 PHP 코드를 스캔하는 과정에서 콜백 형태의 키를 통해 스캔 호스트에서 임의의 명령어가 실행될 수 있습니다.
💡 쉬운 설명
코드 검사 도구가 특정 코드를 읽을 때, 악의적으로 작성된 코드를 실행 가능한 명령어로 잘못 해석하여 컴퓨터를 해킹할 수 있는 문제입니다. 검사 대상 코드에 특수한 배열 키를 포함하면 공격자가 원하는 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
PHPCSUtils is a suite of utility functions for use with PHP_CodeSniffer. From 1.0.0-alpha1 until 1.2.3, PHPCSUtils\AbstractSniffs\AbstractArrayDeclarationSniff::getActualArrayKey() evaluates attacker-controlled array-key expressions with eval(), allowing callback-form keys in untrusted PHP code scanned by an extending sniff to execute arbitrary commands on the scanning host. Known reachable paths include Universal.Arrays.DuplicateArrayKey and Universal.Arrays.MixedArrayKeyTypes. This issue is fixed in version 1.2.3.
📍 영향받는 시스템
PHPCSUtils 버전 1.0.0-alpha1 ~ 1.2.3
⚔️ 공격 벡터
스캔 대상 PHP 코드 내에 eval()을 통해 실행 가능한 콜백 형태의 배열 키를 삽입하여 공격
🛡️ 대응 방법
PHPCSUtils를 최신 버전인 1.2.3 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 1.2.3 미만(1.2.3 포함 안 됨)인지 확인
composer show phpcsutils/phpcsutils | grep 'versions'