🇰🇷 한글 설명
curl 7.84.0 미만 버전에서 여러 압축 알고리즘이 중첩된 '체인' 형태의 HTTP 압축을 처리할 때 발생합니다. 악의적인 서버가 무제한에 가까운 압축 단계를 삽입할 경우, curl이 과도한 힙 메모리를 할당하게 되어 메모리 고갈(malloc bomb) 현상이 발생할 수 있습니다.
💡 쉬운 설명
나쁜 서버가 데이터를 수없이 겹겹이 압축해서 보내면, 이를 풀려는 프로그램이 메모리를 너무 많이 써서 컴퓨터가 멈추거나 꺼질 수 있는 문제입니다. 마치 상자 안에 상자가 끝없이 들어있는 것을 풀려다 지쳐버리는 것과 같습니다.
🇺🇸 원문 (English)
curl < 7.84.0 supports "chained" HTTP compression algorithms, meaning that a serverresponse can be compressed multiple times and potentially with different algorithms. The number of acceptable "links" in this "decompression chain" was unbounded, allowing a malicious server to insert a virtually unlimited number of compression steps.The use of such a decompression chain could result in a "malloc bomb", makingcurl end up spending enormous amounts of allocated heap memory, or trying toand returning out of memory errors.
📍 영향받는 시스템
curl versions < 7.84.0
⚔️ 공격 벡터
악의적인 서버가 조작된 다중 압축 HTTP 응답을 클라이언트에 전송
🛡️ 대응 방법
curl 버전을 7.84.0 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 7.84.0 미만이면 취약한 상태입니다.
curl --version | grep -E 'curl/[0-9]+\.[0-9]+'