🇰🇷 한글 설명
Eclipse Californium는 IoT 클라우드 서비스를 위한 CoAP 프로토콜의 Java 구현체입니다. 3.7.0 및 2.7.4 미만 버전에서 핸드셰이크 실패 시 스로틀링 카운터가 초기화되지 않아 임계값에 도달하면 레코드를 영구적으로 드롭하는 서비스 거부(DoS) 취약점이 존재합니다.
💡 쉬운 설명
연결 시도 중 오류가 발생했을 때 시스템이 이를 제대로 정리하지 못해, 나중에는 정상적인 연결도 모두 차단해버리는 문제입니다. 이로 인해 IoT 장치와 서버 간의 통신이 완전히 끊길 수 있습니다.
🇺🇸 원문 (English)
Eclipse Californium is a Java implementation of RFC7252 - Constrained Application Protocol for IoT Cloud services. In versions prior to 3.7.0, and 2.7.4, Californium is vulnerable to a Denial of Service. Failing handshakes don't cleanup counters for throttling, causing the threshold to be reached without being released again. This results in permanently dropping records. The issue was reported for certificate based handshakes, but may also affect PSK based handshakes. It generally affects client and server as well. This issue is patched in version 3.7.0 and 2.7.4. There are no known workarounds. main: commit 726bac57659410da463dcf404b3e79a7312ac0b9 2.7.x: commit 5648a0c27c2c2667c98419254557a14bac2b1f3f
📍 영향받는 시스템
Eclipse Californium versions prior to 3.7.0 and 2.7.4
⚔️ 공격 벡터
인증서 또는 PSK 기반 핸드셰이크 과정에서 의도적으로 실패를 유도하여 스로틀링 임계값을 초과시킴
🛡️ 대응 방법
Californium 버전을 3.7.0 또는 2.7.4 이상으로 업데이트
🔧 검증 코드
사용 중인 Californium 라이브러리의 버전을 확인하여 3.7.0 또는 2.7.4 미만인지 확인합니다.
java -cp californium.jar org.eclipse.californium.core.CaliforniumScanner --version 2>/dev/null || echo 'Check your project dependency version'