CVE 데이터베이스CVE-2020-36193

최종 갱신 2026-06-17English Advisory →

CVE-2020-361937.5/HIGHCISA KEV 등재CWE-22CWE-59CWE-59

PEAR Archive_Tar 심볼릭 링크 검증 미흡으로 인한 디렉터리 트래버스 및 임의 파일 쓰기 취약점 (CVE-2020-36193)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

pear

대상 컴포넌트 / 패키지

archive_tar

권고문 발행일

2021-01-18

CVSS v3.1

7.5

HIGH

30일 악용확률

70.6%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

PEAR Archive_Tar 1.4.11 이하 버전을 사용하는 PHP 애플리케이션 및 프레임워크 (Drupal 등 포함)

파급 효과

공격자가 악의적으로 조작된 Tar 아카이브 파일을 업로드하여 시스템 내 임의 경로에 파일을 생성하거나 덮어쓰고, 최종적으로 원격 코드 실행(RCE)을 유도할 수 있습니다

권장 조치

PEAR Archive_Tar 패키지를 최신 버전(1.4.12 이상)으로 즉시 업데이트하고, 업로드되는 압축 파일의 확장자 및 압축 해제 경로를 제한하십시오

영향받는 제품 및 버전 범위

PEAR Archive_Tar 1.4.11 및 이전의 모든 버전 (Drupal 등 해당 라이브러리를 내장한 타사 솔루션 포함)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

PEAR 패키지 관리자 또는 Composer를 사용하여 Archive_Tar 라이브러리를 안전한 버전(1.4.12 이상)으로 즉시 업그레이드하십시오.

bash

# PEAR 패키지 관리자를 사용하는 경우 업그레이드
pear upgrade archive_tar

# Composer를 사용하는 프로젝트의 경우 의존성 업데이트
composer update pear/archive_tar --with-dependencies

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 웹 애플리케이션의 파일 업로드 기능에서 .tar, .tar.gz, .tgz 등 아카이브 파일의 업로드를 일시적으로 차단하거나, 업로드된 파일의 압축 해제 기능을 비활성화하십시오. 또한, PHP 실행 환경에서 심볼릭 링크 생성을 방지하기 위해 open_basedir 설정을 적용하여 스크립트가 허용된 디렉터리 외부의 파일에 접근하지 못하도록 제한하십시오.

ini

# php.ini 설정 파일에 아래 설정을 추가하여 디렉터리 격리 적용
open_basedir = '/var/www/html:/tmp'

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 시스템에 설치된 Archive_Tar 버전을 확인하고, 웹 서버 로그 및 업로드 디렉터리 내에 비정상적인 심볼릭 링크 파일이 존재하는지 점검하는 스크립트입니다.

bash

# 1. Composer 설치 버전 확인
composer show pear/archive_tar | grep -E 'versions'

# 2. 업로드 디렉터리 내 비정상적인 심볼릭 링크 파일 검색
find /var/www/html/uploads -type l -ls

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Snyk Open Source & Container Security

PEAR Archive_Tar 라이브러리를 즉시 1.4.12 이상 버전으로 업데이트하여 원격 코드 실행 위협을 차단하십시오.

내 GitHub/GitLab 레포지토리에 이 취약한 패키지가 숨어 있는지 30초 만에 스캔하세요

간접 의존성(Transitive Dependency)에 포함된 취약점은 수동 확인이 불가능합니다. Git 연동 한 번으로 취약 버전 탐지부터 호환성을 유지하는 최소 버전 업그레이드 PR까지 자동 생성하세요.

무료 플랜 지원 · GitHub/GitLab 1클릭 연동

내 프로젝트 무료 취약점 스캔 시작하기

CI/CD 파이프라인에 자동 보안 스캐닝(SAST/SCA) 구축하는 실전 강의

커리큘럼 확인하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2020-36193)은 PHP 환경에서 Tar 아카이브를 처리하는 데 널리 사용되는 PEAR Archive_Tar 라이브러리에서 발생합니다. Archive_Tar 내의 Tar.php 모듈은 아카이브 내부의 심볼릭 링크(Symbolic Link)를 해제하거나 처리할 때, 대상 경로에 대한 유효성 검증을 충분히 수행하지 않습니다. 이로 인해 공격자가 아카이브 내부에 특정 디렉터리나 파일을 가리키는 심볼릭 링크를 포함시키고 이를 압축 해제하도록 유도하면, 애플리케이션의 의도된 디렉터리 범위를 벗어나 시스템의 임의 경로에 접근할 수 있는 디렉터리 트래버스(Directory Traversal) 상태가 발생합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 먼저 악의적인 심볼릭 링크가 포함된 Tar 아카이브 파일을 생성합니다. 이 심볼릭 링크는 웹 루트 디렉터리(../../../../var/www/html) 또는 시스템 설정 디렉터리를 가리키도록 조작됩니다. 취약한 버전의 Archive_Tar를 사용하는 웹 애플리케이션에 이 파일을 업로드하면, 서버 측에서 압축을 해제하는 과정에서 심볼릭 링크가 먼저 생성됩니다. 이후 아카이브 내의 후속 파일들이 해당 심볼릭 링크 경로를 따라가며 압축이 풀리게 되며, 결과적으로 공격자가 원하는 임의의 위치에 웹셸(WebShell) 등의 악성 PHP 스크립트가 생성되거나 기존의 중요 시스템 파일이 덮어씌워지게 됩니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재될 만큼 실제 공격에 적극적으로 악용된 이력이 있으며, EPSS 점수가 0.70을 상회하여 매우 높은 위협 수준을 나타냅니다. 공격자가 웹 서버 권한으로 임의의 PHP 코드를 실행할 수 있게 되므로, 데이터베이스 자격 증명 탈취, 내부 네트워크 침투, 랜섬웨어 유포, 웹사이트 변조(Defacement) 등 비즈니스 연속성에 치명적인 피해를 초래할 수 있습니다. 특히 Drupal과 같이 PEAR Archive_Tar를 내장 의존성으로 사용하는 대규모 CMS 환경의 경우 피해 범위가 더욱 광범위해집니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Tar.php in Archive_Tar through 1.4.11 allows write operations with Directory Traversal due to inadequate checking of symbolic links, a related issue to CVE-2020-28948.

https://github.com/pear/Archive_Tar/commit/cde460582ff389404b5b3ccb59374e9b389de916

출처: cve@mitre.org · Patch

https://lists.debian.org/debian-lts-announce/2021/01/msg00018.html

출처: cve@mitre.org · Mailing List, Third Party Advisory

https://lists.debian.org/debian-lts-announce/2021/04/msg00007.html

출처: cve@mitre.org · Mailing List, Third Party Advisory

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/42GPGVVFTLJYAKRI75IVB5R45NYQGEUR/

출처: cve@mitre.org · Broken Link

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/FOZNK4FIIV7FSFCJNNFWMJZTTV7NFJV2/

출처: cve@mitre.org · Broken Link

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/VJQQYDAOWHD6RDITDRPHFW7WY6BS3V5N/

출처: cve@mitre.org · Broken Link

자주 묻는 실무 질문 (FAQ — CVE-2020-36193)

FAQ

Q1. CVE-2020-36193 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2020-36193의 기본 점수는 CVSS 7.5 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 70.6%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2020-36193에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 pear이며, 대상 컴포넌트는 archive_tar입니다. 상세 영향 범위: PEAR Archive_Tar 1.4.11 및 이전의 모든 버전 (Drupal 등 해당 라이브러리를 내장한 타사 솔루션 포함)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] PEAR Archive_Tar 패키지를 최신 버전(1.4.12 이상)으로 즉시 업데이트하고, 업로드되는 압축 파일의 확장자 및 압축 해제 경로를 제한하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동