🇰🇷 한글 설명
zlib이 활성화된 libcurl 7.10.5부터 7.19.7 버전에서 자동 압축 해제 요청 시 콜백 데이터 양을 적절히 제한하지 못하는 취약점이 존재합니다. 공격자가 조작된 압축 데이터를 전송할 경우 애플리케이션의 서비스 거부(DoS) 또는 예기치 않은 영향을 초래할 수 있습니다.
💡 쉬운 설명
압축된 파일을 자동으로 풀어주는 기능에서 데이터 크기를 제대로 확인하지 못하는 문제입니다. 나쁜 의도를 가진 압축 파일을 보내면 프로그램이 갑자기 꺼지거나 멈출 수 있습니다.
🇺🇸 원문 (English)
content_encoding.c in libcurl 7.10.5 through 7.19.7, when zlib is enabled, does not properly restrict the amount of callback data sent to an application that requests automatic decompression, which might allow remote attackers to cause a denial of service (application crash) or have unspecified other impact by sending crafted compressed data to an application that relies on the intended data-length limit.
📍 영향받는 시스템
libcurl 7.10.5 ~ 7.19.7 (zlib 활성화 시)
⚔️ 공격 벡터
조작된 압축 데이터를 포함한 네트워크 요청을 전송하여 대상 애플리케이션의 메모리/데이터 처리 로직을 공격
🛡️ 대응 방법
libcurl을 7.19.7 이후의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 libcurl 버전이 7.10.5보다 크고 7.19.7보다 작거나 같은지 확인하십시오.
curl --version | grep -E 'libcurl/[0-9]+\.[0-9]+\.[0-9]+'