🇰🇷 한글 설명
OpenDocMan 2.4.0부터 2.10.0 버전에서 압축 폭탄 취약점이 발견되었습니다. 인증된 사용자가 조작된 오피스 문서를 업로드하여 PHP 메모리를 고갈시킴으로써 시스템 가용성을 저하시킬 수 있습니다.
💡 쉬운 설명
작은 크기의 압축 파일을 올렸을 때 압축을 풀면 엄청나게 커지도록 설계된 파일을 이용해 서버를 마비시키는 공격입니다. 이로 인해 서버의 메모리가 가득 차서 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
OpenDocMan 2.4.0 through 2.10.0 contains a decompression bomb vulnerability that allows authenticated users to exhaust PHP memory by uploading crafted office documents. Attackers can upload a small ODT, DOCX, or XLSX file whose XML entries decompress to hundreds of megabytes, crashing PHP workers and degrading availability.
📍 영향받는 시스템
OpenDocMan 2.4.0 ~ 2.10.0
⚔️ 공격 벡터
인증된 사용자가 압축 해제 시 메모리를 과다 점유하는 조작된 문서(ODT, DOCX, XLSX)를 업로드함
🛡️ 대응 방법
OpenDocMan을 최신 보안 패치가 적용된 버전으로 업데이트하거나 PHP 메모리 제한 및 파일 업로드 검증 설정을 강화하십시오.
🔧 검증 코드
명령어 결과로 출력된 OpenDocMan의 버전이 2.4.0에서 2.10.0 사이인지 확인하십시오.
find / -name "opendocman" -exec grep -H "version" {} \; 2>/dev/null