Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
PHP 8.x 버전의 치명적인 원격 코드 실행 취약점 수정 패치(8.5, 8.4, 8.3, 8.2)가 발표되었으나, 공식 Docker 이미지가 제때 배포되지 않아 개발자들이 어려움을 겪고 있습니다. 특히 Ubuntu와 같은 주요 배포판의 업데이트 지연 및 복잡한 이미지 빌드 과정이 문제로 지적됩니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 GeekNews의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기사전 예고가 충분했는데도 공식 PHP Docker 이미지가 아직 준비되지 않은 이유가 뭔가? https://hub.docker.com/_/php.
개념 증명 공격 코드와 공식 PHP 수정 사항까지 미리 공개됐으니 정각, 아니 그보다 일찍 배포할 준비가 됐어야 함. 벌써 예정 시각을 27분 넘긴 상태임.
MFA 코드를 받는 책임자가 부재중이라 서버에 접속해서 업데이트할 수가 없음.
보여주기식 기업 보안 관행이 오히려 실질적인 보안 수준을 떨어뜨리는 좋은 예시 같음.
Ubuntu 업데이트는 아직도 나오지 않았고 벌써 30분이나 늦어짐. Debian은 거의 즉시 패치를 배포했는데 말임.
Debian과 다른 주요 배포판은 며칠 전부터 패치를 받아 테스트하고 배포를 준비했기에 즉시 공개할 수 있었음. Ubuntu가 뒤처진 이유는 불분명함.
공식 php:* Docker 이미지가 언제 나올지 아는 분 있나? 지금은 패치된 8.6 RC 컨테이너만 공개된 것 같음.
업데이트 PR은 여기이며, 좀 더 기다려야 할 듯함. https://github.com/docker-library/php/pull/1694.
PR 작성자는 유지보수자가 아니라 직접 병합할 수 없으므로 담당자의 검토를 기다려야 함. PR이 병합된 뒤에도docker-library/official-images 쪽 병합과 이미지 빌드 등 후속 단계가 필요함. 전체 과정은 docker-library/faq#an-images-source-changed-in-git-now-what을 참고하면 됨.
Ubuntu용 Ondřej PPA 저장소는 어떻게 되고 있나?
OOM 손상을 통한 원격 코드 실행 설명의 완화 조치에는 memory_limit, post_max_size, max_input_nesting_level 같은 설정이 나열돼 있는데, 왜 멀티파트 요청 차단은 없나? 이것도 해결책 아닌가?
취약점 설명에 “여러 멀티파트 파싱 문제”라고 되어 있어 그렇게 보임.
해결책이 아님. 해당 방식은 취약점을 악용하는 개념 증명 중 하나일 뿐이며, 다른 공격 방법도 있음.
wordpress:fpm의 PHP 버전이 8.3.35에서 8.3.36으로 바뀌기를 기다리며 아래 명령을 주기적으로 실행 중임. docker pull wordpress:fpm && docker image inspect wordpress:fpm --format '{{.Created}}' && docker run --rm wordpress:fpm php --version
아직은 바뀌지 않음.