🇰🇷 한글 설명
libcurl의 CURLOPT_CERTINFO 옵션을 사용할 때 NSS 라이브러리와 결합된 경우, 악의적인 서버가 인증서 체인 정보를 요청하는 과정에서 libcurl을 무한 루프에 빠뜨릴 수 있는 취약점입니다. 이로 인해 애플리케이션의 CPU 점유율이 급증하고 서비스가 중단될 수 있습니다.
💡 쉬운 설명
인증서 정보를 확인하는 과정에서 나쁜 서버가 특수한 정보를 보내면, 프로그램이 끝없이 계산을 반복하며 멈춰버리는 문제입니다. 이로 인해 컴퓨터가 매우 느려지거나 프로그램이 응답하지 않게 됩니다.
🇺🇸 원문 (English)
libcurl provides the `CURLOPT_CERTINFO` option to allow applications torequest details to be returned about a server's certificate chain.Due to an erroneous function, a malicious server could make libcurl built withNSS get stuck in a never-ending busy-loop when trying to retrieve thatinformation.
📍 영향받는 시스템
NSS 라이브러리를 사용하여 빌드된 libcurl 버전
⚔️ 공격 벡터
악의적인 인증서 체인을 가진 서버에 libcurl을 통해 연결을 시도하여 무한 루프 유도
🛡️ 대응 방법
NSS를 사용하는 libcurl을 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력 결과에 NSS가 포함되어 있다면 해당 취약점에 노출될 가능성이 있으므로 최신 버전 여부를 확인해야 합니다.
curl --version | grep -i 'NSS'