🇰🇷 한글 설명
EspoCRM 9.3.11 이전 버전과 10.0.8 이전 10.x 버전에는 API 오류 처리 중 적용되는 비밀번호 마스킹 정규표현식이 긴 요청 본문에서 과도한 CPU를 소모하는 서비스 거부(DoS) 취약점이 존재합니다. 인증되지 않은 원격 공격자가 소수의 대용량 API 요청을 동시에 보내 서버 워커를 고갈시킬 수 있습니다.
💡 쉬운 설명
CRM 시스템에 아주 큰 요청을 여러 개 동시에 보내면 서버가 과부하되어 느려지거나 멈출 수 있습니다. 로그인 없이도 외부에서 이런 공격이 가능합니다.
🇺🇸 원문 (English)
EspoCRM before 9.3.11 and 10.x before 10.0.8 contains a denial of service vulnerability in which the password-redaction regular expression applied during API error handling consumes excessive CPU on long request bodies. Unauthenticated remote attackers can concurrently send a small number of large API requests to exhaust server workers, making EspoCRM slow or unavailable to legitimate users.
📍 영향받는 시스템
EspoCRM 9.3.11 미만 및 10.0.8 미만의 10.x 버전
⚔️ 공격 벡터
인증 없이 원격에서 소수의 대용량 API 요청을 동시에 전송하여 서버 워커를 고갈시킴
🛡️ 대응 방법
EspoCRM을 9.3.11 이상 또는 10.0.8 이상으로 업데이트하고, 요청 본문 크기 제한 및 속도 제한을 적용
🔧 검증 코드
출력된 버전 값이 9.3.11 미만이거나 10.0.8 미만의 10.x이면 취약하며, 그 이상이면 패치된 버전입니다. 경로가 다르면 EspoCRM 설치 디렉터리에 맞게 수정하세요.
grep -rh 'version' /var/www/html/*/application/Espo/Resources/defaults/config.php 2>/dev/null | head -n 1