🇰🇷 한글 설명
악의적인 원격 피어가 PATH_CHALLENGE 프레임을 대량 전송하여 QUIC 서버 또는 클라이언트의 힙 메모리를 고갈시킬 수 있는 취약점입니다. 서버는 각 요청에 대해 PATH_RESPONSE 프레임을 할당하지만, 공격자가 응답을 확인하지 않아 메모리가 무한히 증가합니다.
💡 쉬운 설명
해커가 서버에 과도한 데이터를 보내 서버의 메모리를 가득 채워 서비스를 마비시키는 공격입니다. 서버는 응답을 기다리며 메모리를 계속 사용하지만 공격자는 이를 무시하여 시스템이 충돌하게 만듭니다.
🇺🇸 원문 (English)
Issue summary: Remote peer may exhaust heap memory of the QUIC
server or client by flooding it with packets containing PATH_CHALLENGE
frames.
Impact summary: A malicious remote peer can cause an unbounded
memory allocation which can lead to an abnormal termination of the
application acting as a QUIC client or server and a Denial of Service.
A remote peer may exhaust heap memory by flooding the local
QUIC stack with PATH_CHALLENGE frames. The local QUIC stack
allocates a PATH_RESPONSE frame for every PATH_CHALLENGE it receives.
The allocated PATH_RESPONSE frame gets freed only when the remote
peer acknowledges reception of the PATH_RESPONSE frame which will
not be done by a malicious peer.
The FIPS modules in 4.0, 3.6, 3.5, 3.4, and 3.0 are not affected by
this issue. The QUIC stack is outside of OpenSSL FIPS module
boundary.
📍 영향받는 시스템
OpenSSL 4.0, 3.6, 3.5, 3.4, 3.0 (FIPS 모듈 제외)
⚔️ 공격 벡터
QUIC 프로토콜을 통해 PATH_CHALLENGE 프레임을 대량으로 전송하여 메모리 고갈 유도
🛡️ 대응 방법
OpenSSL을 최신 보안 패치 버전으로 업그레이드하여 QUIC 스택의 메모리 할당 로직을 수정해야 합니다.
🔧 검증 코드
출력된 버전이 4.0, 3.6, 3.5, 3.4, 3.0 중 하나라면 영향을 받으며, 최신 버전으로 업데이트해야 합니다.
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
OpenSSL 제품 보안 업데이트 권고
P4
📅 2026-06-17 · sec_notice
OpenSSL 제품에서 무결성 검증 미흡 및 메모리 할당 제어 미흡 취약점이 발견되었습니다. 해당 버전의 OpenSSL을 사용하는 사용자는 보안 위협 방지를 위해 최신 버전으로 업데이트가 필요합니다.