🇰🇷 한글 설명
ZeroMQ 4.3.3 미만 버전에서 발생하는 서비스 거부(DoS) 취약점입니다. TCP 전송 엔드포인트에 CURVE/ZAP가 설정되어 있더라도, 공격자가 원시 TCP 소켓을 통해 연결을 시도하면 정상적인 클라이언트가 메시지를 주고받을 수 없게 됩니다.
💡 쉬운 설명
공격자가 가짜 연결을 만들어 서버를 혼란에 빠뜨림으로써, 진짜 사용자들이 서버와 통신하지 못하게 방해하는 공격입니다. 이로 인해 서비스가 정상적으로 작동하지 않을 수 있습니다.
🇺🇸 원문 (English)
In ZeroMQ before version 4.3.3, there is a denial-of-service vulnerability. Users with TCP transport public endpoints, even with CURVE/ZAP enabled, are impacted. If a raw TCP socket is opened and connected to an endpoint that is fully configured with CURVE/ZAP, legitimate clients will not be able to exchange any message. Handshakes complete successfully, and messages are delivered to the library, but the server application never receives them. This is patched in version 4.3.3.
📍 영향받는 시스템
ZeroMQ 4.3.3 미만 버전 (TCP 전송 및 CURVE/ZAP 사용 환경)
⚔️ 공격 벡터
CURVE/ZAP가 설정된 엔드포인트에 원시 TCP 소켓을 사용하여 비정상적인 연결 시도
🛡️ 대응 방법
ZeroMQ를 최신 버전인 4.3.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.3.3보다 낮으면 취약한 상태이며, 4.3.3 이상이면 안전합니다.
python3 -c 'import zmq; print(zmq.__version__)' 2>/dev/null || echo 'ZeroMQ not installed'