🇰🇷 한글 설명
CoreWCF의 NetFraming 기반 서비스에서 연결이 제대로 종료되지 않아 시스템 리소스가 과도하게 소비될 수 있는 취약점입니다. 클라이언트가 핸드셰이크를 시작하지 않거나 설정된 ReceiveTimeout 기간 동안 요청을 보내지 않을 경우 연결이 무한정 유지될 수 있습니다.
💡 쉬운 설명
연결된 통신 통로가 사용이 끝난 후에도 자동으로 닫히지 않고 계속 열려 있어 컴퓨터의 자원을 낭비하게 만드는 문제입니다. 이를 통해 시스템의 성능이 떨어지거나 서비스가 느려질 수 있습니다.
🇺🇸 원문 (English)
CoreWCF is a port of the service side of Windows Communication Foundation (WCF) to .NET Core. If you have a NetFraming based CoreWCF service, extra system resources could be consumed by connections being left established instead of closing or aborting them. There are two scenarios when this can happen. When a client established a connection to the service and sends no data, the service will wait indefinitely for the client to initiate the NetFraming session handshake. Additionally, once a client has established a session, if the client doesn't send any requests for the period of time configured in the binding ReceiveTimeout, the connection is not properly closed as part of the session being aborted. The bindings affected by this behavior are NetTcpBinding, NetNamedPipeBinding, and UnixDomainSocketBinding. Only NetTcpBinding has the ability to accept non local connections. The currently supported versions of CoreWCF are v1.4.x and v1.5.x. The fix can be found in v1.4.2 and v1.5.2 of the CoreWCF packages. Users are advised to upgrade. There are no workarounds for this issue.
📍 영향받는 시스템
CoreWCF v1.4.x 및 v1.5.x (NetTcpBinding, NetNamedPipeBinding, UnixDomainSocketBinding 사용 시)
⚔️ 공격 벡터
클라이언트가 연결을 생성한 후 데이터를 보내지 않거나 세션을 유지한 채 요청을 중단하여 리소스를 점유하는 방식
🛡️ 대응 방법
CoreWCF 패키지를 v1.4.2 또는 v1.5.2 이상 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 CoreWCF의 버전이 1.4.2 또는 1.5.2 미만인지 확인하십시오.
dotnet list package | grep CoreWCF