🇰🇷 한글 설명
Ruby의 OpenSSL::ASN1 모듈에 있는 decode 메서드 취약점으로, 특수 제작된 문자열을 입력받으면 인터프리터가 충돌하여 서비스 거부(DoS)가 발생합니다. Ruby 2.2.8 미만, 2.3.x 5 미만, 2.4.1 이하 버전이 영향을 받습니다.
💡 쉬운 설명
Ruby에서 ASN1 형식의 데이터를 해석할 때 이상한 데이터를 받으면 프로그램이 뻗어버리는 문제입니다. 공격자가 나쁜 데이터를 보내면 서버가 응답하지 않게 됩니다.
🇺🇸 원문 (English)
The decode method in the OpenSSL::ASN1 module in Ruby before 2.2.8, 2.3.x before 2.3.5, and 2.4.x through 2.4.1 allows attackers to cause a denial of service (interpreter crash) via a crafted string.
📍 영향받는 시스템
Ruby 2.2.8 미만, 2.3.0-2.3.4, 2.4.0-2.4.1
⚔️ 공격 벡터
악의적인 ASN.1 인코딩 문자열을 OpenSSL::ASN1.decode()에 전달하여 인터프리터 충돌 유발
🛡️ 대응 방법
Ruby 2.2.8 이상, 2.3.5 이상, 2.4.2 이상으로 업그레이드
🔧 검증 코드
Ruby 버전이 출력되면 취약한 버전입니다. 2.2.8, 2.3.5, 2.4.2 이상이면 패치됨
ruby -v 2>/dev/null | grep -E 'ruby (2\.[2-3]\.[0-7]|2\.4\.[0-1])'