🇰🇷 한글 설명
Perl용 XS::libbrotli 1.2.1.0 이전 버전은 디코더에 범위를 벗어난 쓰기(out-of-bounds write) 취약점이 있는 brotli 라이브러리를 번들로 포함합니다. 이 번들 라이브러리는 의존 모듈의 빌드 시 정적 라이브러리로 링크되므로, 시스템 brotli를 업데이트해도 취약점이 해결되지 않습니다. 공격자가 조작된 brotli 스트림을 전달하면 메모리 손상, 정보 노출, 프로세스 충돌 또는 임의 코드 실행이 가능할 수 있습니다.
💡 쉬운 설명
Perl 프로그램이 압축 데이터를 해제할 때 사용하는 내장 압축 라이브러리에 결함이 있습니다. 악의적으로 만든 압축 파일을 처리하면 공격자가 프로그램을 멈추게 하거나 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
XS::libbrotli versions before 1.2.1.0 for Perl bundle a brotli library with an out-of-bounds write in the decoder.
Affected versions compile a bundled brotli into static archives that dependent XS modules link against at build time, rather than using the system library. The bundled copy, 1.0.7 or 1.1.0 across the range, carries the decoder out-of-bounds write described in CVE-2026-111497. Version 1.2.1.0 updates it to brotli 1.2.1.
XS::libbrotli has no Perl interface, so the decoder is reached through any dependent module that decompresses untrusted data with it. An attacker supplying a crafted brotli stream can corrupt decoder state, disclose memory, crash the process, or potentially execute arbitrary code. Upgrading the system brotli does not remediate this.
📍 영향받는 시스템
XS::libbrotli 1.2.1.0 미만 버전을 의존 모듈과 함께 사용하는 Perl 환경 (번들 brotli 1.0.7 또는 1.1.0 포함)
⚔️ 공격 벡터
공격자가 조작된 brotli 압축 스트림을 해당 Perl 모듈이 처리하도록 전달하여 디코더 메모리를 손상시킴
🛡️ 대응 방법
XS::libbrotli를 1.2.1.0 이상으로 업그레이드한 후, 이에 의존하는 Perl 모듈을 재빌드하여 정적 링크를 갱신
🔧 검증 코드
출력된 버전이 1.2.1.0 이상이면 패치된 것이며, 1.2.1.0 미만이거나 모듈이 설치되지 않은 경우(오류 출력) 취약 여부를 추가로 확인해야 합니다.
perl -MXS::libbrotli -e 'print $XS::libbrotli::VERSION, "\n"' 2>/dev/null || cpanm --info XS::libbrotli 2>/dev/null