🇰🇷 한글 설명
해당 확장 프로그램이 공격자가 제어하는 쿠키 입력을 PHP의 unserialize() 함수로 안전하지 않게 처리하는 결함이 있습니다. 원격의 인증되지 않은 공격자가 조작된 직렬화 페이로드를 전송하여 PHP 객체 주입(PHP Object Injection)을 유발할 수 있으며, 이를 통해 TYPO3 서버에서 원격 코드 실행(RCE)이 가능합니다.
💡 쉬운 설명
해커가 조작된 쿠키를 보내 서버가 잘못된 데이터를 처리하게 만드는 취약점입니다. 이를 통해 해커가 서버에 직접 명령을 내려 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
The extension fails to safely process untrusted client input of an attacker-controlled cookie directly to PHP's unserialize(). A remote, unauthenticated attacker can supply a crafted serialized payload to trigger PHP Object Injection, leading to Remote Code Execution on the TYPO3 server.
📍 영향받는 시스템
TYPO3 서버 및 관련 확장 프로그램 (버전 미상)
⚔️ 공격 벡터
조작된 직렬화 데이터가 포함된 쿠키를 전송하는 원격 네트워크 공격
🛡️ 대응 방법
해당 확장 프로그램을 최신 보안 패치가 적용된 버전으로 업데이트하거나, 사용자 정의 쿠키를 통한 unserialize() 호출을 차단해야 합니다.
🔧 검증 코드
설치된 TYPO3 버전 정보를 확인하여 취약점이 해결된 패치 버전인지 대조합니다.
php -r 'echo "PHP Object Injection vulnerability check";' && composer show typoscript/typo3 2>/dev/null