🇰🇷 한글 설명
getID3 1.9.26 이하 버전의 XML2array 헬퍼 함수에서 XML 외부 엔티티(XXE) 주입 취약점이 발견되었습니다. PHP 8.0 미만 버전에서 엔티티 로딩을 적절히 비활성화하지 못해 발생하며, 공격자는 악성 XML 메타데이터를 통해 로컬 파일을 노출하거나 SSRF 및 서비스 거부(DoS) 공격을 수행할 수 있습니다.
💡 쉬운 설명
미디어 파일 안에 숨겨진 악성 코드를 통해 서버의 중요한 파일을 훔쳐보거나 서버를 마비시킬 수 있는 보안 약점입니다. 파일의 정보를 읽는 과정에서 보안 설정이 미흡하여 발생합니다.
🇺🇸 원문 (English)
getID3 through 1.9.26 contains an XML external entity injection vulnerability in the XML2array helper function that fails to properly disable entity loading on PHP before 8.0. Attackers can craft malicious XML metadata in media files to disclose local files, perform server-side request forgery, or cause denial of service through entity expansion.
📍 영향받는 시스템
getID3 1.9.26 이하 버전 (PHP 8.0 미만 환경)
⚔️ 공격 벡터
악성 XML 메타데이터가 포함된 미디어 파일을 서버에 업로드하거나 처리하도록 유도
🛡️ 대응 방법
getID3를 최신 버전으로 업데이트하거나, PHP 8.0 이상을 사용하고 XML 처리 시 외부 엔티티 로딩을 명시적으로 비활성화함
🔧 검증 코드
출력된 버전이 1.9.26 이하인지 확인하여 취약 여부를 판단함
composer show getid3 | grep -E 'versions'