🇰🇷 한글 설명
curl은 기본적으로 WebSocket PING 프레임에 자동으로 응답합니다. 하지만 curl은 확인되지 않은 프레임에 대한 메모리 할당 상한선이 없기 때문에, 악의적인 서버가 빠른 속도로 연속적인 PING 메시지를 보내면 curl의 가용 메모리를 모두 고갈시킬 수 있습니다.
💡 쉬운 설명
나쁜 서버가 curl에게 계속해서 확인 신호를 보내 메모리를 꽉 채우게 만드는 공격입니다. 이로 인해 컴퓨터의 메모리가 부족해져 프로그램이 멈추거나 시스템이 느려질 수 있습니다.
🇺🇸 원문 (English)
By default, curl automatically responds to WebSocket PING frames. Because curl
lacks an upper bound on memory allocation for unacknowledged frames, a
malicious server can exhaust all available memory by flooding curl with rapid,
sequential PING messages.
📍 영향받는 시스템
WebSocket 기능을 사용하는 curl 버전 (패치 전 버전)
⚔️ 공격 벡터
악의적인 WebSocket 서버가 대량의 PING 프레임을 curl에 전송하여 메모리 고갈 유도
🛡️ 대응 방법
메모리 할당 제한이 적용된 최신 버전의 curl로 업데이트
🔧 검증 코드
출력된 curl 버전을 확인하여 보안 패치가 적용된 최신 버전인지 제조사 공지사항과 비교
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
curl 제품 보안 업데이트 권고
P4
📅 2026-06-29 · sec_notice
curl 및 libcurl 제품에서 인증 우회, 정보 노출, 메모리 오류 등 다수의 보안 취약점이 발견되었습니다. 8.21.0 미만 버전을 사용하는 사용자는 보안을 위해 최신 버전인 8.21.0 이상으로 업데이트해야 합니다.