🇰🇷 한글 설명
glib-networking에서 TLS 1.3 연결 시 클라이언트 측 세션 캐시가 단일 호스트에 대해 보관하는 세션 티켓 수를 제한하지 않는 결함이 발견되었습니다. 악의적인 서버가 과도한 세션 티켓 메시지를 전송하면 클라이언트 애플리케이션의 메모리 사용량이 지속적으로 증가하여 서비스 거부(DoS)가 발생할 수 있습니다.
💡 쉬운 설명
인터넷 보안 연결을 만들 때 사용하는 프로그램이 악의적인 서버로부터 너무 많은 데이터를 받으면 메모리를 계속 차지합니다. 결국 컴퓨터 메모리가 가득 차서 프로그램이 멈출 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in glib-networking. When establishing connections using Transport Layer Security (TLS) version 1.3, the client-side session cache does not limit the number of session tickets retained for a single host. A malicious server can exploit this by sending excessive session ticket messages, causing the client application to continuously consume memory. This unbounded memory growth can exhaust system memory, resulting in a Denial of Service (DoS).
📍 영향받는 시스템
glib-networking을 사용하는 Linux 배포판 및 GNOME 기반 애플리케이션 (수정 버전 확인 필요)
⚔️ 공격 벡터
악의적으로 조작된 TLS 1.3 서버에 클라이언트가 연결하면, 서버가 대량의 세션 티켓을 전송해 클라이언트 메모리를 고갈시킴
🛡️ 대응 방법
패키지 제조사가 제공하는 보안 업데이트를 적용하여 glib-networking을 최신 버전으로 업그레이드
🔧 검증 코드
설치된 glib-networking 버전이 출력되며, 배포판 보안 공지에서 명시한 수정 버전 이상이면 패치된 것이고 그보다 낮으면 취약한 상태입니다.
dpkg -l glib-networking 2>/dev/null | grep -E 'glib-networking'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server