🇰🇷 한글 설명
Twisted 프레임워크의 twisted.names 모듈에서 DNS 이름 압축 해제 중 깊게 연결된 압축 포인터를 통해 자원 고갈 기반 DoS 공격이 가능합니다. 원격 공격자가 특수하게 구성된 TCP DNS 패킷을 전송하면 수백만 개의 재귀적 조회를 처리하면서 Twisted 리액터가 먹통이 됩니다. 26.4.0rc2 버전 이상으로 업그레이드하면 해결됩니다.
💡 쉬운 설명
Twisted 서버에 특별한 DNS 요청을 보내면 서버가 무한 계산에 빠져 응답을 하지 않게 되는 문제입니다. 공격자는 인증 없이 이 요청을 보내서 서버를 마비시킬 수 있습니다.
🇺🇸 원문 (English)
Twisted is an event-based framework for internet applications, supporting Python 3.6+. Prior to 26.4.0rc2, the twisted.names module is vulnerable to a Denial of Service (DoS) attack via resource exhaustion during DNS name decompression. A remote, unauthenticated attacker can exploit this by sending a crafted TCP DNS packet containing deeply chained compression pointers. This flaw bypasses previous loop-prevention logic, causing the single-threaded Twisted reactor to hang while processing millions of recursive lookups, effectively freezing the server. This vulnerability is fixed in 26.4.0rc2.
📍 영향받는 시스템
Twisted 26.4.0rc2 이전 버전 (Python 3.6+)
⚔️ 공격 벡터
원격 공격자가 깊게 연결된 DNS 압축 포인터가 포함된 TCP DNS 패킷을 전송
🛡️ 대응 방법
Twisted를 26.4.0rc2 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 26.4.0rc2 이상이면 안전하고, 그 이전 버전이면 즉시 업그레이드 필요
python3 -c "import twisted; print(twisted.__version__)"