🇰🇷 한글 설명
uutils coreutils의 ln 유틸리티에 논리 오류가 있어, 대상 디렉터리 형식(예: ln SOURCE... DIRECTORY)을 사용할 때 UTF-8이 아닌 파일명 바이트를 포함한 소스 경로를 거부합니다. GNU ln은 파일명을 원시 바이트로 처리하여 링크를 정상 생성하지만, uutils 구현은 UTF-8 인코딩을 강제하여 파일 stat 실패 및 0이 아닌 종료 코드를 반환합니다. 이로 인해 유효하지만 UTF-8이 아닌 파일명을 처리하는 자동화 스크립트나 시스템 작업에서 로컬 서비스 거부(DoS)가 발생할 수 있습니다.
💡 쉬운 설명
링크를 만드는 명령어(ln)가 한글 등 일부 특수 인코딩으로 된 파일 이름을 제대로 인식하지 못해 실패할 수 있습니다. 이 때문에 해당 파일을 다루는 자동화 작업이 중간에 멈출 수 있습니다.
🇺🇸 원문 (English)
A logic error in the ln utility of uutils coreutils causes the program to reject source paths containing non-UTF-8 filename bytes when using target-directory forms (e.g., ln SOURCE... DIRECTORY). While GNU ln treats filenames as raw bytes and creates the links correctly, the uutils implementation enforces UTF-8 encoding, resulting in a failure to stat the file and a non-zero exit code. In environments where automated scripts or system tasks process valid but non-UTF-8 filenames common on Unix filesystems, this divergence causes the utility to fail, leading to a local denial of service for those specific operations.
📍 영향받는 시스템
uutils coreutils를 사용하는 Rust 기반 coreutils 환경 (구체적 영향 버전은 공식 advisory 확인 필요)
⚔️ 공격 벡터
공격자가 UTF-8이 아닌 바이트로 이루어진 파일명을 생성하여 ln 명령 실행 시 실패를 유발하는 로컬 방식
🛡️ 대응 방법
uutils coreutils를 패치된 최신 버전으로 업데이트하거나, 벤더가 제공하는 보안 수정 패키지를 적용
🔧 검증 코드
출력에 'uutils'가 포함되어 있으면 uutils 구현을 사용 중이며, 버전 정보를 벤더 advisory의 패치 버전과 비교하여 취약 여부를 판단합니다.
ln --version 2>/dev/null | head -n 1
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L
💻 영향받는 소프트웨어
Windows iSCSI Target Service