🇰🇷 한글 설명
zrok은 웹 서비스, 파일, 네트워크 자원을 공유하기 위한 소프트웨어이다. 2.0.1 이전 버전에서는 endpoints.GetSessionCookie 함수가 토큰 검증 이전에 공격자가 제공한 쿠키 청크 개수를 상한 없이 make([]string, count)에 사용하여, 인증되지 않은 원격 공격자가 요청당 기가바이트 규모의 힙 할당을 유발할 수 있다. 이로 인해 프로세스 OOM 종료 또는 고루틴 패닉이 반복될 수 있으며, publicProxy와 dynamicProxy 모두 영향을 받는다. 2.0.1 버전에서 해결되었다.
💡 쉬운 설명
zrok이라는 공유 프로그램이 쿠키를 처리할 때 개수 제한을 두지 않아, 악의적인 요청 하나로 엄청난 메모리를 소모하게 만들 수 있습니다. 공격자는 로그인 없이도 이를 반복해 서비스를 멈추게 할 수 있습니다.
🇺🇸 원문 (English)
zrok is software for sharing web services, files, and network resources. Prior to version 2.0.1, endpoints.GetSessionCookie parses an attacker-supplied cookie chunk count and calls make([]string, count) with no upper bound before any token validation occurs. The function is reached on every request to an OAuth-protected proxy share, allowing an unauthenticated remote attacker to trigger gigabyte-scale heap allocations per request, leading to process-level OOM termination or repeated goroutine panics. Both publicProxy and dynamicProxy are affected. Version 2.0.1 patches the issue.
📍 영향받는 시스템
zrok 2.0.1 미만 버전 (publicProxy, dynamicProxy 기능을 사용하는 OAuth 보호 프록시 공유 환경)
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 쿠키 청크 개수를 포함한 HTTP 요청을 보내 대용량 메모리 할당을 반복 유발
🛡️ 대응 방법
zrok을 2.0.1 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 2.0.1 미만이면 취약하며, 2.0.1 이상이면 패치가 적용된 것이다
zrok version 2>/dev/null || zrok --version 2>/dev/null