Month of PHP Bugs - 13일차

13일차 MOPB 취약점 발표는 상당히 늦어졌군요. 날짜 상으로는 14일차라고 해야 할 정도로 말이죠. 오늘은 2 가지 취약점을 발표했는데, 압축 파일과 관련된 URL 취급 시에 발생하는 취약점입니다.

( 13일차 취약점 리스트 )

20번째 취약점은 PHP 5.2.1 을 포함한 하위 버전에 해당하는 것으로 PECL zip 확장 모듈의 취약점 입니다. PHP 는 safemode 나 open_basedir 같은 기능에 의존해서 보안을 강화하고 있는데요, 놀랍게도 zip:// URL 을 취급할 때는 safemode 나 open_basedir 의 영향을 전혀 안받는다는군요. 코드의 coverage 가 안되는거죠.

21번째 취약점 역시 PHP 5.2.1 을 포함한 하위 버전에 해당하는 것으로 bzip2 압축 파일을 다루는 bz2 확장 모듈의 취약점 입니다. bzip2:// URL 취급시에도 역시 safemode 나 open_basedir 의 영향을 전혀 안받는다는군요.

원문에는 safemode 와 open_basedir 기능이 위의 경우처럼 우회할 수 있는 방법이 많기 때문에, 해당 기능에 의존해서 보안 문제를 해결하려 하지 말라고 권고하고 있습니다.

safemode 와 open_basedir 는 보안 상 중요한 기능을 option 을 통해 활성화, 비활성화할 수 있어 잘못된 보안 설계라는 비난을 받아왔고, PHP 6 에서는 사라지는 기능입니다. 이 점 참고하셔서 보다 안전하게 사이트를 운영하시길 바라겠습니다.