🇰🇷 한글 설명
상트페테르부르크 국립대학교 시스템 프로그래밍 학과의 웹사이트인 spbu_se_site에서 발견된 취약점입니다. 인증된 사용자가 매우 긴 유니코드 파일명을 가진 아바타 이미지를 업로드할 경우, Windows 운영체제에서 NFKD 유니코드 정규화 과정의 과도한 리소스를 소모하여 서버 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 아주 긴 이름의 사진 파일을 올리면 서버가 이름을 처리하다가 과부하가 걸려 멈출 수 있는 문제입니다. 이로 인해 다른 사용자들이 웹사이트를 이용하지 못하게 될 수 있습니다.
🇺🇸 원문 (English)
spbu_se_site is the website of the Department of System Programming of St. Petersburg State University. Before 2024.01.29, when uploading an avatar image, an authenticated user may intentionally use a large Unicode filename which would lead to a server-side denial of service under Windows. This is due to no limitation of the length of the filename and the costly use of the Unicode normalization with the form NFKD on Windows OS. This vulnerability was fixed in the 2024.01.29 release.
📍 영향받는 시스템
spbu_se_site (2024.01.29 미만 버전)
⚔️ 공격 벡터
인증된 사용자가 매우 긴 유니코드 파일명을 가진 아바타 이미지를 업로드함
🛡️ 대응 방법
2024.01.29에 출시된 최신 버전으로 업데이트하여 파일명 길이에 대한 제한을 적용함
🔧 검증 코드
웹사이트의 응답 헤더에서 날짜가 2024년 1월 29일 이후인지 확인하여 패치 여부를 판단합니다.
curl -I https://spbu_se_site.ru/ | grep -i 'Date'