CVE 데이터베이스CVE-2018-15133

최종 갱신 2026-06-17English Advisory →

CVE-2018-151338.1/HIGHCISA KEV 등재CWE-502CWE-502

Laravel 프레임워크 역직렬화 원격 코드 실행(RCE) 취약점 분석 및 대응 가이드 (CVE-2018-15133)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

laravel

대상 컴포넌트 / 패키지

framework

권고문 발행일

2018-08-09

CVSS v3.1

8.1

HIGH

30일 악용확률

76.6%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Laravel 프레임워크 5.5.40 이하 버전 및 5.6.0 이상 5.6.29 이하 버전

파급 효과

공격자가 애플리케이션 암호화 키(APP_KEY)를 획득하거나 탈취한 경우, 악의적으로 조작된 X-XSRF-TOKEN 헤더를 전송하여 대상 서버에서 원격 코드 실행(RCE)을 수행할 수 있습니다

권장 조치

Laravel 프레임워크를 최신 보안 패치 버전(5.5.41, 5.6.30 이상)으로 즉시 업그레이드하고, 노출되었을 가능성이 있는 APP_KEY를 즉시 재생성 및 교체하십시오

영향받는 제품 및 버전 범위

Laravel Framework 5.5.40 이하 버전, 5.6.x 계열 5.6.29 이하 버전 (APP_KEY가 노출된 환경에서 취약함)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Laravel 프로젝트의 composer.json 파일을 수정하거나 아래 Composer 명령어를 실행하여 보안 패치가 적용된 버전(5.5.41 또는 5.6.30 이상)으로 업데이트합니다.

bash

# Laravel 5.6 계열 패치 버전 업그레이드
composer update laravel/framework:5.6.30 --with-dependencies

# Laravel 5.5 LTS 계열 패치 버전 업그레이드
composer update laravel/framework:5.5.41 --with-dependencies

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 노출되었을 가능성이 있는 APP_KEY를 즉시 재생성하여 기존 세션 및 암호화 토큰을 무효화해야 합니다. 또한 외부로부터의 .env 파일 접근을 차단하도록 웹 서버 설정을 강화합니다.

bash

# 1. Laravel 애플리케이션 키(APP_KEY) 재생성 및 캐시 클리어
php artisan key:generate
php artisan config:clear
php artisan cache:clear

nginx

# 2. Nginx 설정 파일에 .env 및 민감한 파일 접근 차단 규칙 추가
server {
    location ~ /\.env {
        deny all;
        return 404;
    }
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 구동 중인 Laravel 버전을 확인하고, 웹 서버 액세스 로그에서 비정상적으로 길거나 인코딩된 X-XSRF-TOKEN 헤더가 포함된 요청을 탐지하는 예시 스크립트입니다.

bash

# Laravel 프레임워크 버전 확인
php artisan --version

# Nginx/Apache 액세스 로그에서 X-XSRF-TOKEN 관련 비정상 요청 패턴 검색 (예시)
grep -i 'X-XSRF-TOKEN' /var/log/nginx/access.log | grep -E 'eyJpdiI6|eyJ2YWx1ZSI6'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Snyk Open Source & Container Security

Laravel 프레임워크를 즉시 최신 보안 버전으로 업그레이드하고, 노출된 APP_KEY가 없는지 점검 후 즉시 재생성하십시오.

내 GitHub/GitLab 레포지토리에 이 취약한 패키지가 숨어 있는지 30초 만에 스캔하세요

간접 의존성(Transitive Dependency)에 포함된 취약점은 수동 확인이 불가능합니다. Git 연동 한 번으로 취약 버전 탐지부터 호환성을 유지하는 최소 버전 업그레이드 PR까지 자동 생성하세요.

무료 플랜 지원 · GitHub/GitLab 1클릭 연동

내 프로젝트 무료 취약점 스캔 시작하기

CI/CD 파이프라인에 자동 보안 스캐닝(SAST/SCA) 구축하는 실전 강의

커리큘럼 확인하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2018-15133)은 PHP Laravel 프레임워크의 암호화 및 세션 처리 메커니즘에서 발생하는 안전하지 않은 역직렬화(Insecure Deserialization, CWE-502) 취약점입니다. Laravel은 요청의 위조를 방지하기 위해 CSRF 토큰을 암호화하여 X-XSRF-TOKEN HTTP 헤더 등으로 전달받아 검증합니다. 이 과정에서 Illuminate/Encryption/Encrypter.php 내의 복호화(decrypt) 메서드가 호출되는데, 복호화된 데이터에 대해 안전하지 않은 unserialize() 호출이 수행되는 구조적 결함이 존재합니다. 공격자가 프레임워크의 암호화 키(APP_KEY)를 알고 있다면, 임의의 객체 주입(Object Injection)을 유도하는 페이로드를 암호화하여 전송할 수 있으며, 이는 최종적으로 원격 코드 실행으로 이어집니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격의 핵심 전제 조건은 대상 Laravel 애플리케이션의 APP_KEY를 확보하는 것입니다. 개발자의 실수로 .env 파일이 외부에 노출되거나, 소스 코드 저장소(GitHub 등)에 유출된 경우 공격자는 이 키를 획득할 수 있습니다. 공격자는 PHPGGC(PHP Generic Gadget Chains) 도구의 Laravel/RCE/3 체인(PendingBroadcast 활용) 등을 사용하여 실행하고자 하는 임의의 OS 명령어가 포함된 직렬화된 객체를 생성합니다. 이후 획득한 APP_KEY와 동일한 암호화 알고리즘(AES)을 사용하여 해당 페이로드를 암호화한 뒤, HTTP 요청의 X-XSRF-TOKEN 헤더에 담아 전송합니다. 서버는 수신된 토큰을 신뢰할 수 있는 것으로 판단하고 복호화한 뒤 unserialize()를 수행하며, 이 과정에서 가젯 체인이 트리거되어 공격자가 의도한 명령어가 웹 서버 권한으로 실행됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 미 연방보안관식처(CISA)의 KEV(Known Exploited Vulnerabilities) 카탈로그에 등재될 만큼 실제 공격에 활발히 악용된 고위험 취약점입니다. 공격자가 웹 서버의 제어권을 완전히 획득할 수 있으므로, 데이터베이스 자격 증명 탈취, 내부망 침투(Lateral Movement), 랜섬웨어 배포, 웹페이지 변조 등 비즈니스 연속성에 치명적인 피해를 야기할 수 있습니다. 특히 컨테이너 환경이나 클라우드 인프라 내에서 실행 중인 경우, 인프라 전체의 권한 도용으로 이어질 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

In Laravel Framework through 5.5.40 and 5.6.x through 5.6.29, remote code execution might occur as a result of an unserialize call on a potentially untrusted X-XSRF-TOKEN value. This involves the decrypt method in Illuminate/Encryption/Encrypter.php and PendingBroadcast in gadgetchains/Laravel/RCE/3/chain.php in phpggc. The attacker must know the application key, which normally would never occur, but could happen if the attacker previously had privileged access or successfully accomplished a previous attack.

http://packetstormsecurity.com/files/153641/PHP-Laravel-Framework-Token-Unserialize-Remote-Command-Execution.html

출처: cve@mitre.org · Exploit, Third Party Advisory, VDB Entry

https://laravel.com/docs/5.6/upgrade#upgrade-5.6.30

출처: cve@mitre.org · Vendor Advisory

http://packetstormsecurity.com/files/153641/PHP-Laravel-Framework-Token-Unserialize-Remote-Command-Execution.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

https://laravel.com/docs/5.6/upgrade#upgrade-5.6.30

출처: af854a3a-2127-422b-91ae-364da2661108 · Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-15133

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2018-15133)

FAQ

Q1. CVE-2018-15133 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2018-15133의 기본 점수는 CVSS 8.1 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 76.6%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2018-15133에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 laravel이며, 대상 컴포넌트는 framework입니다. 상세 영향 범위: Laravel Framework 5.5.40 이하 버전, 5.6.x 계열 5.6.29 이하 버전 (APP_KEY가 노출된 환경에서 취약함)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Laravel 프레임워크를 최신 보안 패치 버전(5.5.41, 5.6.30 이상)으로 즉시 업그레이드하고, 노출되었을 가능성이 있는 APP_KEY를 즉시 재생성 및 교체하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동