🇰🇷 한글 설명
wildfly-elytron-asn1의 DERDecoder 클래스에서 리소스 고갈 취약점이 발견되었습니다. 공격자가 조작된 DER 페이로드를 전송하면 디코더가 유효성 검사 없이 과도한 메모리를 할당하려고 시도하여 JVM 메모리 고갈을 유발합니다. 이로 인해 SASL 인증이나 X.500 인증서 파싱을 사용하는 서비스에 원격 서비스 거부(DoS) 상태가 발생할 수 있습니다.
💡 쉬운 설명
특수하게 제작된 데이터를 보내 서버의 메모리를 순식간에 가득 채워 서버를 멈추게 만드는 공격입니다. 인증 과정에서 데이터를 처리할 때 검사를 제대로 하지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
A flaw was found in the DERDecoder class within wildfly-elytron-asn1. A remote attacker can exploit this resource exhaustion vulnerability by sending a specially crafted DER (Distinguished Encoding Rules) payload. The decoder attempts to allocate excessive memory based on an inflated length value without proper validation, leading to Java Virtual Machine (JVM) memory exhaustion. This results in a remote Denial of Service (DoS) for services that process untrusted DER/ASN.1 input, including SASL (Simple Authentication and Security Layer) authentication mechanisms and X.500 certificate principal parsing paths.
📍 영향받는 시스템
wildfly-elytron-asn1 라이브러리를 사용하는 WildFly 관련 시스템
⚔️ 공격 벡터
조작된 DER(Distinguished Encoding Rules) 페이로드를 전송하여 메모리 할당 유도
🛡️ 대응 방법
해당 취약점이 해결된 최신 버전의 wildfly-elytron-asn1 라이브러리로 업데이트
🔧 검증 코드
출력된 JAR 파일의 버전을 확인하여 취약점이 해결된 버전인지 대조합니다.
find / -name "wildfly-elytron-asn1*.jar" 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
Active Directory Certificate Services