🇰🇷 한글 설명
OSSN 9.0 이전 버전의 이미지 업로드 기능에서 극단적인 픽셀 크기(예: 10000x10000)의 특수 제작 이미지를 통해 서버 메모리와 CPU를 과다 소비시켜 서비스 거부(DoS) 공격이 가능한 취약점입니다. 압축된 파일 크기는 작지만 서버가 압축 해제 및 리사이징 과정에서 막대한 자원을 할당하게 됩니다.
💡 쉬운 설명
공격자가 수만 픽셀 크기의 이미지 파일을 업로드하면 서버가 이를 처리하다가 메모리와 CPU를 모두 소진해 먹통이 되는 문제입니다. 파일 크기는 작지만 서버가 처리할 때 엄청난 자원을 소비합니다.
🇺🇸 원문 (English)
Open Source Social Network (OSSN) is open-source social networking software developed in PHP. Versions prior to 9.0 are vulnerable to resource exhaustion. An attacker can upload a specially crafted image with extreme pixel dimensions (e.g., $10000 \times 10000$ pixels). While the compressed file size on disk may be small, the server attempts to allocate significant memory and CPU cycles during the decompression and resizing process, leading to a Denial of Service (DoS) condition. It is highly recommended to upgrade to OSSN 9.0. This version introduces stricter validation of image dimensions and improved resource management during the processing phase. Those who cannot upgrade immediately can mitigate the risk by adjusting their `php.ini` settings to strictly limit `memory_limit` and `max_execution_time` and/or implementing a client-side and server-side check on image headers to reject files exceeding reasonable pixel dimensions (e.g., $4000 \times 4000$ pixels) before processing begins.
📍 영향받는 시스템
Open Source Social Network (OSSN) 버전 9.0 이전의 모든 버전
⚔️ 공격 벡터
특수 제작된 극단적 픽셀 크기의 이미지 파일을 이미지 업로드 기능을 통해 서버에 업로드
🛡️ 대응 방법
OSSN을 9.0 이상으로 업그레이드하거나, php.ini의 memory_limit과 max_execution_time을 제한하고 4000x4000 픽셀 이상의 이미지를 사전 차단
🔧 검증 코드
실행 결과에서 버전이 9.0 이상이면 안전, 9.0 미만이거나 결과가 없으면 취약 상태입니다.
grep -r "define.*OSSN_VERSION" /var/www/html/ossn 2>/dev/null | head -1