🇰🇷 한글 설명
libcurl 8.0.0 미만 버전에서 별도의 핸들 간 HSTS 데이터를 공유할 때 발생하는 이중 해제(double free) 취약점입니다. 멀티스레드 환경에서 데이터 공유 시 뮤텍스나 스레드 잠금 장치가 누락되어, 두 스레드가 동일한 HSTS 데이터에 접근할 경우 이중 해제 또는 사용 후 해제(use-after-free)가 발생할 수 있습니다.
💡 쉬운 설명
여러 작업이 동시에 같은 정보를 사용하려고 할 때, 정보를 정리하는 과정에서 충돌이 발생하여 프로그램이 오류를 일으키거나 보안 문제가 생길 수 있는 결함입니다. 마치 두 사람이 동시에 하나의 물건을 버리려고 하다가 사고가 나는 것과 비슷합니다.
🇺🇸 원문 (English)
A double free vulnerability exists in libcurl <8.0.0 when sharing HSTS data between separate "handles". This sharing was introduced without considerations for do this sharing across separate threads but there was no indication of this fact in the documentation. Due to missing mutexes or thread locks, two threads sharing the same HSTS data could end up doing a double-free or use-after-free.
📍 영향받는 시스템
libcurl 8.0.0 미만 버전
⚔️ 공격 벡터
멀티스레드 환경에서 공유된 HSTS 데이터를 사용하는 애플리케이션을 통한 메모리 오염 공격
🛡️ 대응 방법
libcurl을 8.0.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 8.0.0보다 낮으면 취약한 버전입니다.
curl --version | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'