🇰🇷 한글 설명
NanaZip 5.0.1252.0 이상 6.0.1698.0 미만 버전의 Electron Archive(ASAR) 파서에는 재귀 깊이 제한이 없는 취약점이 존재합니다. 헤더에 깊게 중첩된 JSON이 포함된 조작된 .asar 파일을 열면 스택이 소진되어 NanaZip 프로세스가 충돌합니다. 이 취약점은 6.0.1698.0 버전에서 수정되었습니다.
💡 쉬운 설명
악성 압축 파일을 열면 NanaZip 프로그램이 비정상 종료될 수 있는 문제입니다. 최신 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
NanaZip is an open source file archive. From 5.0.1252.0 to before 6.0.1698.0, an uncontrolled recursion vulnerability exists in the Electron Archive (ASAR) parser in NanaZip. When opening a crafted .asar file with deeply nested JSON in the header, both nlohmann::json::parse and the handler's GetAllPaths function recurse without depth limits, exhausting the thread stack and crashing the NanaZip process. This vulnerability is fixed in 6.0.1698.0.
📍 영향받는 시스템
Windows용 NanaZip 5.0.1252.0 이상 6.0.1698.0 미만
⚔️ 공격 벡터
사용자가 깊게 중첩된 JSON 헤더를 가진 조작된 .asar 파일을 NanaZip으로 열도록 유도
🛡️ 대응 방법
NanaZip을 6.0.1698.0 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 6.0.1698.0 이상이면 취약점이 수정된 것이고, 그보다 낮거나 결과가 없으면 업데이트가 필요하거나 미설치 상태입니다.
powershell -command "(Get-AppxPackage -Name *NanaZip*).Version"