🇰🇷 한글 설명
curl의 QUIC UDP 수신 기능에서 발생하는 문제로, 악의적인 HTTP/3 서버가 curl 또는 libcurl 클라이언트를 대상으로 원격 서비스 거부(DoS) 공격을 수행할 수 있습니다. 헬퍼 함수가 패킷 예산 계산 전에 길이가 0인 UDP 데이터그램을 폐기하기 때문에, 연결된 QUIC 피어가 빈 데이터그램을 지속적으로 전송하여 클라이언트를 무한히 정지시킬 수 있습니다.
💡 쉬운 설명
나쁜 서버가 아무 내용도 없는 빈 데이터를 계속 보내서 사용자의 인터넷 연결 도구(curl)를 멈추게 만드는 공격입니다. 이로 인해 프로그램이 응답하지 않거나 작동이 중단될 수 있습니다.
🇺🇸 원문 (English)
An issue in curl’s QUIC UDP receive function allows a malicious HTTP/3 server
to trigger a remote denial of service against a curl or libcurl client.
Because the helper function discards zero-length UDP datagrams before counting
them toward the per-call packet budget, a connected QUIC peer can continuously
stream empty datagrams to indefinitely stall the client.
📍 영향받는 시스템
curl 및 libcurl (QUIC/HTTP/3 기능이 활성화된 버전)
⚔️ 공격 벡터
악의적인 HTTP/3 서버가 클라이언트에 지속적으로 길이가 0인 UDP 데이터그램을 전송하여 리소스를 점유함
🛡️ 대응 방법
curl 및 libcurl을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 QUIC 또는 HTTP3 지원 여부가 표시되는지 확인하여 해당 기능 활성화 여부를 판단합니다.
curl --version | grep -iE 'quic|http3'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
curl 제품 보안 업데이트 권고
P4
📅 2026-06-29 · sec_notice
curl 및 libcurl 제품에서 인증 우회, 정보 노출, 메모리 오류 등 다수의 보안 취약점이 발견되었습니다. 8.21.0 미만 버전을 사용하는 사용자는 보안을 위해 최신 버전인 8.21.0 이상으로 업데이트해야 합니다.