- 신규 PHP 코드 실행 공격 방법 공개돼...워드프레스와 Typo3 사이트 주의 새창
- PHP 프로그래밍 언어의 치명적인 역직렬화 취약점을 쉽게 트리거링 할 수 있는 새로운 익스플로잇 기술이 지난주 블랙햇 USA에서 공개됐다. 워드프레스를 이용해 제작된 사이트들의 각별한 주의가 요구된다. 이 기술은 인기있는 컨텐츠 관리 시스템인 워드프레스와 Typo3 등으로 만들어진 웹사이트를 포함한 수 십만개의 웹 애플리케이션을 대상으로 원격 코드 실행 공격을 할 수 있어 위험하다. PHP 역직렬화 또는 오브젝트 인젝션 취약점은 2009년 처음 문서화 되었으며, 이는 공격자가 unserialize() PHP 함수에 악성 입력을...
- 길민권 기자 2018-08-21
- PHP GD 라이브러리 서비스 거부 취약점 발견돼...패치 필수 새창
- 최근 PHP GD 라이브러리에서 서비스거부 취약점(CVE-2018-5711)이 발견되었다. 해당 취약점으로 PHP의 서버 CPU 사용률을 순간적으로 100%로 만들어 버릴 수 있다. GD 라이브러리의 gf_gif-in.c에는 정수서명오류가 존재해, 특별히 조작된 GIF 파일을 이용한다면 PHP 함수의 ｉｍａｇｅｃｒｅａｔｅfromgif 또는 ｉｍａｇｅｃｒｅａｔｅfromstring가 불러들여질 때 무한루프를 발생시킬 수 있다. 취약점은 ext/gd/libgd/gd_gif_in.c 코드에 존재한다. GetDataBlock이 -1을 ...
- 길민권 기자 2018-02-09
![[긴급] PHPMailer에 원격코드 실행 제로데이 취약점 발견돼](http://ph.dailysecu.com/news/thumbnail/201612/17773_12178_197_150.jpg)
- [긴급] PHPMailer에 원격코드 실행 제로데이 취약점 발견돼 새창
- 폴란드 보안 연구원 Dawid Golunski는 PHP 오픈 소스 라이브러리 중 이메일 송수신에 사용되는 PHPMailer에서 웹쉘 등을 업로드할 수 있는 원격 코드 실행 취약점(CVE-2016-10033, CVE-2016-10045)을 발견했다. 아직 패치가 나오지 않아 이용자들은 각별한 주의를 기울여야 한다.이번에 공개된 취약점은 인증되지 않은 원격 공격자가 웹 서버의 컨텍스트에서 임의 코드를 실행할 수 있는 취약점(CVE-2016-10033)과 CVE-2016-10033 취약점에 대한 패치를 우회할 수 있는 취약점(CVE-20
- 길민권 기자 2016-12-28
- PHP 원격코드 실행 취약점 보안 업데이트! 새창
- PHP 5.3.9 버전의 "php_register_variable_ex()" 함수에서 구현 오류로 인해 원격코드 실행 가능한 취약점이 발견됐다. 공격자는 해당 취약점에 영향 받는 시스템에 특수하게 조작된 요청을 전송 할 경우, 영향받는 시스템에 원격코드를 실행시킬 수 있다. 해당 취약점 정보 공개에 따라 피해를 입을 수 있으므로, 웹서버 관리자의 적극적인 조치가 필요하다. 영향 받는 시스템은 PHP 5.3.9 버전이며 취약한 PHP(동적인 웹사이트를 위한 서버 측 스크립트 언어) 버전 사용자는 PHP 5.3.10 이상버전으로 업
- 길민권 2012-02-07
- PHP 리모트 익스플로잇 가능한 버그 발견돼! 새창
- PHP에서 무려 리모트 익스플로잇이 가능한 버그가 발견되었다. 2011년 우리나라의 SECUINSIDE 컨퍼런스에서 발표를 하기도 한 Stefan Esser가 발견했다. 버그 자체는 무척 단순하다. 오늘 날짜로 패치가 올라왔는데, 코드를 잠깐 보면 아래와 같다. - php_register_variable_ex() in php_variables.php (아래 URL 패치 파일에서 발췌한 코드다.)(svn.php.net/viewvc/php/php-src/branches/PHP_5_3) 위에서 9 ~ 12줄의 코드가 해당 버그를 막기 위
- 길민권 2012-02-02
- 워드프레스, XSS 등 멀티취약점 인정…패치계획은 無 새창
- 설치형 블로그 서비스인 워드프레스(WordPress) 디폴트 인스톨 페이지에 취약한 문자열이 발견됐다. 또 PHP 코드실행과 지속적인 XSS(크로스 사이트 스크립팅) 취약점 등이 존재하는 것으로 조사됐다. 이 취약점은 3.3.1버전과 이후 버전에 영향을 미친다. 한편 워드프레스측은 이 취약점이 공격자들에게 아주 작은 공격 가능성만 열어주고 있기 때문에 취약점을 패치할 계획은 없다고 밝혔다. 이 취약점은 TrustWave's SpiderLabs(트러스트웨이브 스파이더랩) 전문가들에 의해 발견됐으며 이 사실을 워드프레스측에 전달
- 길민권 2012-01-26
- PHP 5.3.7 버전, 암호화 결함 발견 새창
- PHP 5.3.7 버전의 암호화 함수에서 데이터가 손상되는 문제점이 발견됐다. 해당 버전의 경우, ‘crypt’함수 사용시 ‘Salt’ 값만 반환되어 원본데이터가 손상되는 문제점을 발생시킬 수 있다. KISA 인터넷침해대응센터는 “PHP 5.3.8 버전으로 업데이트해야 하며 PHP를 새로 설치하는 이용자는 반드시 해당 버그가 패치 적용된 최신버전(5.3.8)을 설치해야 한다”고 권고했다. ◇PHP: 동적인 웹사이트를 위한 서버 측 스크립트 언어◇crypt함수: MD5암호화 대상 원문에 특수한 문자열(Salt)을 덧붙여 무차별 대입
- 길민권 2011-08-29
