🇰🇷 한글 설명
Python용 PDF 생성 라이브러리인 fpdf2의 2.5.0부터 2.8.8 버전 사이에서 중첩된 SVG <use> 참조를 처리할 때 발생하는 취약점입니다. 공격자가 조작된 SVG 파일을 사용하면 메모리 및 CPU 사용량이 기하급수적으로 증가하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
특수하게 만들어진 그림 파일을 PDF로 변환하려고 하면 컴퓨터의 메모리와 CPU를 과도하게 사용하여 시스템이 멈추거나 꺼질 수 있는 문제입니다. 작은 파일 하나로도 서버 전체에 큰 부담을 줄 수 있습니다.
🇺🇸 원문 (English)
fpdf2 is a PDF creation library for Python. From 2.5.0 until 2.8.8, fpdf2's SVGObject.build_xref() passes nested SVG <use> references to GraphicsContext.add_item(), whose default clone=True deep-copy behavior copies the complete referenced graphics tree during FPDF.image() processing. Repeating references at each nesting level makes the in-memory object count and processing work grow exponentially, allowing a small user-controlled SVG to consume excessive CPU and memory, raise MemoryError, fail PDF generation jobs, and reduce or exhaust worker capacity. ResourceAccessPolicy does not prevent the issue because the references are inline and require no external resource, XML entity, local file, or permissive network setting. This issue is fixed in version 2.8.8.
📍 영향받는 시스템
fpdf2 versions 2.5.0 to 2.8.8
⚔️ 공격 벡터
사용자가 업로드하거나 입력한 조작된 SVG 파일을 fpdf2 라이브러리를 통해 PDF로 변환하는 과정
🛡️ 대응 방법
fpdf2 라이브러리를 2.8.8 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.8.8보다 낮으면 취약한 상태입니다.
pip show fpdf2 | grep Version