🇰🇷 한글 설명
PHP_CodeSniffer의 Gitblame, Hgblame, Svnblame 보고서 생성 과정에서 커맨드 인젝션 취약점이 발견되었습니다. 공격자가 셸 메타문자가 포함된 파일 이름을 가진 파일을 처리하도록 유도하면 임의의 명령어가 실행될 수 있습니다. 이 문제는 3.13.6 및 4.0.2 버전에서 수정되었습니다.
💡 쉬운 설명
코드 검사 도구가 파일 이름을 읽는 과정에서 특수 문자를 명령어로 오해하여 실행하는 문제입니다. 악의적으로 이름이 지어진 파일을 검사하면 해커가 컴퓨터를 조종할 수 있습니다.
🇺🇸 원문 (English)
PHP_CodeSniffer tokenizes PHP files and detects violations of a defined set of coding standards. Prior to versions 3.13.6 and 4.0.2, PHP_CodeSniffer contains a command injection vulnerability in the code that generates the Gitblame, Hgblame, and Svnblame report formats. As a result, running PHP_CodeSniffer over untrusted files, for example in a continuous integration pipeline that scans pull requests, or on a developer machine reviewing third party code, could result in attacker controlled shell commands being executed when the Gitblame, Hgblame, or Svnblame report processes a file whose name contains shell metacharacters. Users using the default Full report, or any of the other non-blame reports, are not affected. Users on a runtime platform which does not allow filenames to contain shell metacharacters, such as " and ;, are not affected. This issue is fixed in versions 3.13.6 and 4.0.2.
📍 영향받는 시스템
PHP_CodeSniffer 3.13.6 미만 및 4.0.2 미만 버전
⚔️ 공격 벡터
셸 메타문자가 포함된 파일 이름을 가진 파일을 Gitblame, Hgblame 또는 Svnblame 보고서 형식으로 처리할 때 발생
🛡️ 대응 방법
PHP_CodeSniffer를 3.13.6 또는 4.0.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.13.6 또는 4.0.2 이상인지 확인하십시오.
composer show squizlabs/php_codesniffer | grep 'versions'