🇰🇷 한글 설명
PHP의 정규식 인코딩 함수에서 Oniguruma와 mbfl 라이브러리 간 인코딩 목록 불일치로 인한 NULL 포인터 역참조 취약점입니다. mb_regex_encoding() 함수에 사용자 제어 입력이 전달될 때 악용되어 세그멘테이션 폴트 및 서비스 거부(DoS)를 발생시킵니다.
💡 쉬운 설명
PHP의 문자 인코딩 처리 함수가 특정 입력값을 받으면 프로그램이 예상하지 못한 메모리 접근을 시도해 충돌합니다. 공격자가 특정 인코딩 값을 보내면 웹사이트가 작동하지 않을 수 있습니다.
🇺🇸 원문 (English)
In PHP versions 8.2.* before 8.2.31, 8.3.* before 8.3.31, 8.4.* before 8.4.21, and 8.5.* before 8.5.6, a mismatch between encoding lists in Oniguruma and mbfl leads to a NULL pointer dereference, resulting in a segmentation fault and denial of service. The vulnerability is exploitable when user-controlled input can influence the encoding passed to mb_regex_encoding().
📍 영향받는 시스템
PHP 8.2.* (< 8.2.31), 8.3.* (< 8.3.31), 8.4.* (< 8.4.21), 8.5.* (< 8.5.6)
⚔️ 공격 벡터
mb_regex_encoding() 함수에 악의적으로 조작된 인코딩 파라미터를 전달하여 NULL 포인터 역참조 유발
🛡️ 대응 방법
PHP를 8.2.31 이상, 8.3.31 이상, 8.4.21 이상, 또는 8.5.6 이상으로 업그레이드
🔧 검증 코드
출력된 PHP 버전이 해당 주 버전(8.2/8.3/8.4/8.5)의 패치 버전 이상이면 안전함
php -v | grep -oE 'PHP [0-9]+\.[0-9]+\.[0-9]+'