Simon Willison·· 14일 전AI 점수67
PHP 8.x 시리즈에서 RCE 취약점 2건 수정, 협조 공개 과정의 유출로 공격 코드 유통
Today's PHP Security Release, and How We're Strengthening PHP Security
AI 요약
PHP 8.x 전 버전에서 원격 코드 실행(RCE) 취약점 2건이 수정됐다. 조율된 취약점 공개 과정에서 정보가 새어 나갔고, 전날 밤부터 익스플로잇이 유통되고 있어 PHP를 사용하는 환경은 업그레이드가 필요하다. PHP Foundation은 경위를 설명했으며, 발견자인 Wiz Research도 상세한 타임라인을 공개했다.
자세히
PHP Foundation에 따르면, 10월 20일(화) 15:00 UTC경 2건의 CVE ID가 온라인 포럼과 SNS에 유포되기 시작했다. 이때 잘못된 릴리스 시각과 잘못된 CVSS 점수 10.0(실제는 9.2)이 함께 붙어 있었다. 기술적 세부 정보는 유출되지 않았다고 한다. PHP 프로젝트는 사전 공지를 19:30 UTC로 앞당겨 공개했고, 릴리스도 10월 22일 14:00 UTC에서 10월 21일 14:00 UTC로 앞당겼다.
사전 공지 이후 20:00 UTC경, 제보자인 보안 기업 중 한 곳인 Califf가 실수로 동영상을 공개했다. 동영상에는 여러 대상에 대한 PoC가 작동하는 모습이 담겨 있었고, 취약점에 관한 제한적인 추가 정보도 포함되어 있었다. 삭제 후에도 사본이 SNS에서 확산되었고, 다양한 PoC 개발이 가속되면서 10월 21일에 걸쳐 유통이 늘어난 것으로 설명되고 있다.
출처: Simon Willison · simonwillison.net