🇰🇷 한글 설명
libcurl에서 HTTP/2 스트림 의존성 트리를 설정한 후 curl_easy_reset()을 호출하고 curl_easy_cleanup()으로 핸들을 종료할 때 발생하는 Use-After-Free 취약점입니다. 정리 과정에서 이미 해제된 내부 구조체에 접근하여 메모리 오류를 유발할 수 있습니다.
💡 쉬운 설명
프로그램이 이미 사용이 끝나서 지워버린 메모리 공간을 다시 사용하려고 시도할 때 발생하는 오류입니다. 이로 인해 프로그램이 갑자기 꺼지거나 해커가 시스템을 조작할 위험이 있습니다.
🇺🇸 원문 (English)
A use-after-free vulnerability exists in libcurl when an application
configures an HTTP/2 stream-dependency tree via `CURLOPT_STREAM_DEPENDS` or
`CURLOPT_STREAM_DEPENDS_E`, subsequently invokes `curl_easy_reset()`, and
finally terminates the handle with `curl_easy_cleanup()`. During this final
cleanup phase, libcurl attempts to access and modify an internal structure
that was already freed during the reset operation.
📍 영향받는 시스템
HTTP/2 스트림 의존성 설정을 사용하는 libcurl 라이브러리 버전
⚔️ 공격 벡터
특정 순서(설정 -> 리셋 -> 정리)로 libcurl 함수를 호출하는 애플리케이션을 통한 메모리 오염
🛡️ 대응 방법
libcurl을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 libcurl 버전을 확인하여 취약점이 해결된 최신 버전인지 대조하십시오.
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
curl 제품 보안 업데이트 권고
P4
📅 2026-06-29 · sec_notice
curl 및 libcurl 제품에서 인증 우회, 정보 노출, 메모리 오류 등 다수의 보안 취약점이 발견되었습니다. 8.21.0 미만 버전을 사용하는 사용자는 보안을 위해 최신 버전인 8.21.0 이상으로 업데이트해야 합니다.