🇰🇷 한글 설명
OpenMcdf는 Compound File Binary Format 파일을 조작하는 .NET/C# 라이브러리입니다. 버전 3.1.3 이전에서 CFB 문서의 디렉토리 항목 red-black 트리의 사이클을 감지하지 못해, 악의적으로 생성된 CFB 파일이 Storage.EnumerateEntries()와 Storage.OpenStream()을 무한 루프로 빠뜨려 스레드를 소비합니다. 버전 3.1.3에서 패치되었습니다.
💡 쉬운 설명
특정 종류의 파일을 처리하는 프로그램에서 악의적으로 만든 파일이 프로그램을 영원히 멈추게 할 수 있습니다. 이로 인해 애플리케이션이 응답하지 않고 정상 작동이 불가능해집니다.
🇺🇸 원문 (English)
OpenMcdf is a fully .NET / C# library to manipulate Compound File Binary File Format files, also known as Structured Storage. Prior to version 3.1.3, OpenMcdf does not detect cycles in the directory entry red-black tree of a Compound File Binary (CFB) document. A crafted CFB file with a cycle in the LeftSiblingID / RightSiblingID chain causes Storage.EnumerateEntries() and Storage.OpenStream() to loop indefinitely, consuming the calling thread with no possibility of recovery via try/catch. This issue has been patched in version 3.1.3.
📍 영향받는 시스템
OpenMcdf 3.1.2 이전 버전 (NuGet 패키지, .NET Framework/Core 프로젝트)
⚔️ 공격 벡터
악의적으로 생성된 Compound File Binary 파일(.doc, .xls, .msg 등)을 애플리케이션이 열거나 처리할 때
🛡️ 대응 방법
OpenMcdf를 3.1.3 이상 버전으로 업그레이드 (NuGet: dotnet add package OpenMcdf --version 3.1.3)
🔧 검증 코드
프로젝트 파일에서 OpenMcdf 버전을 확인합니다. 3.1.3 이상이면 패치되었으며, 3.1.2 이하면 즉시 업그레이드해야 합니다.
find . -type f \( -name '*.csproj' -o -name 'packages.config' \) 2>/dev/null | xargs grep -i 'OpenMcdf' 2>/dev/null