🇰🇷 한글 설명
Malcolm의 파일 압축 해제 파이프라인에서 .gz, .bz2와 같은 단일 스트림 압축 형식에 대해 압축 해제 제한 사항을 적용하지 않는 취약점이 발견되었습니다. 인증된 사용자가 매우 높은 압축률을 가진 파일을 업로드하여 디스크 공간을 모두 점유함으로써 시스템 전체를 마비시킬 수 있습니다.
💡 쉬운 설명
압축을 풀었을 때 크기가 엄청나게 커지는 '압축 폭탄' 파일을 올려서 서버의 저장 공간을 가득 채우는 공격입니다. 이로 인해 서비스 전체가 멈추고 다른 사용자들도 시스템을 이용할 수 없게 됩니다.
🇺🇸 원문 (English)
Malcolm's upload-processing pipeline (scripts/safe-extract.py) enforces entry-count, nesting-depth, and total-uncompressed-byte limits when extracting container archives (zip/tar/rar/7z via libarchive), but those limits are not applied when the uploaded file is a single-stream compressed format (.gz, .bz2, .xz, .lzma, .lz) that isn't a .tar.*-style archive. Any authenticated user permitted to upload PCAP/log files can upload a small, highly compressible file (e.g. a gzip bomb) that decompresses to an effectively unbounded size on disk, exhausting the shared Docker volume used by OpenSearch, Logstash, Arkime, and Zeek, and disrupting the platform for all users.
📍 영향받는 시스템
Malcolm (scripts/safe-extract.py를 사용하는 버전)
⚔️ 공격 벡터
인증된 사용자가 용량 제한이 없는 단일 스트림 압축 파일(.gz, .bz2 등)을 업로드하여 디스크 공간 고갈 유도
🛡️ 대응 방법
단일 스트림 압축 형식에 대해서도 압축 해제 시 크기 및 제한 사항을 적용하도록 scripts/safe-extract.py 패치 적용
🔧 검증 코드
명령어 결과에서 단일 스트림 압축 형식에 대한 크기 제한 로직이 누락되어 있는지 확인
grep -r "single-stream" scripts/safe-extract.py