tag
역직렬화
이 태그가 달린 문서 2건
2026-09-05
안전하지 않은 역직렬화: 외부 데이터가 객체 타입을 고르게 두는 위험과 막는 법
역직렬화의 위험은 나쁜 값이 들어오는 데 있지 않다. 일부 형식에서는 어떤 타입의 객체를 만들지 외부 데이터가 정한다는 데 있다. 그래서 피해는 데이터 손상에서 멈추지 않는다. OWASP는 서비스 거부, 접근 제어 우회, 원격 코드 실행을 든다. 방어는 두 가지다. 타입을 고르지 않는 순수 데이터 형식으로 바꾸고, 직렬화된 메시지에 서명해 서명 없는 것은 절대 복원하지 않는다. 그리고 어떤 장치는 설정으로 안전하게 만들 수 없으며, 유일한 해결은 쓰지 않는 것이다.
위험CVSS9.32026-06-08
CVE-2026-45247 — PHP 객체 인젝션을 통한 Magento 확장 기능의 인증 없는 RCE
Magento 2용 Mirasvit Full Page Cache Warmer 1.11.12 미만의 PHP 객체 인젝션(CWE-502)이 인증 없는 RCE에 도달합니다. CVSS 9.3. 주된 대책은 1.11.12 이상으로의 업데이트입니다. 근본 원칙: 신뢰할 수 없는 데이터를 결코 역직렬화하지 말 것.