🇰🇷 한글 설명
FrankenPHP 1.12.5 미만 버전의 공식 Debian 및 Alpine Docker 이미지에 포함된 기본 index.php 파일이 phpinfo()를 실행합니다. 이로 인해 운영 환경에서 환경 변수, PHP 설정, 시스템 경로 등 민감한 정보가 노출될 수 있습니다.
💡 쉬운 설명
웹 서버 설정 파일에 실수로 정보 공개 페이지가 포함되어 있어, 해커가 서버의 중요한 설정 정보를 훔쳐볼 수 있는 문제입니다. 서버의 비밀번호나 경로 같은 민감한 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
FrankenPHP is a modern application server for PHP. Prior to 1.12.5, the official FrankenPHP Debian and Alpine Docker images include a default /app/public/index.php that executes phpinfo(). A derived image that does not overwrite this placeholder serves the diagnostics page in production and can disclose environment variables used for secrets, PHP configuration directives, loaded extensions, software versions, and system paths. Images built using the documented pattern with their own /app/public/index.php are not affected, and already derived images must be rebuilt or supplied with an application index to remove the exposed placeholder. This issue is fixed in version 1.12.5.
📍 영향받는 시스템
FrankenPHP 1.12.5 미만 버전의 공식 Debian 및 Alpine Docker 이미지
⚔️ 공격 벡터
웹 브라우저를 통해 기본 제공되는 /app/public/index.php 경로에 접속하여 정보 탈취
🛡️ 대응 방법
FrankenPHP를 1.12.5 버전으로 업데이트하거나, 사용자 정의 index.php 파일을 사용하여 기본 파일을 덮어쓰기
🔧 검증 코드
출력된 이미지의 태그 버전이 1.12.5 미만인지 확인
docker images | grep frankenphp
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server