🇰🇷 한글 설명
Envoy 프록시에서 JSON 객체의 소멸자 처리 중 스택 오버플로가 발생하는 취약점입니다. 10만 개 이상의 깊게 중첩된 JSON 객체가 포함된 경우 시스템이 비정상적으로 종료될 수 있습니다.
💡 쉬운 설명
복잡하게 꼬인 JSON 데이터를 처리할 때 컴퓨터의 메모리 공간이 넘쳐서 프로그램이 멈추는 문제입니다. 공격자가 아주 복잡한 데이터를 보내면 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
Envoy is an open source edge and service proxy designed for cloud-native applications. Prior to 1.35.11, 1.36.7, 1.37.3, and 1.38.1, destructor of JSON Object results in stack overflow when deeply O(100K) nested objects are present. This vulnerability is fixed in 1.35.11, 1.36.7, 1.37.3, and 1.38.1.
📍 영향받는 시스템
Envoy versions prior to 1.35.11, 1.36.7, 1.37.3, and 1.38.1
⚔️ 공격 벡터
깊게 중첩된(Deeply nested) JSON 객체를 포함한 요청을 전송하여 스택 오버플로 유발
🛡️ 대응 방법
Envoy를 최신 보안 패치 버전(1.35.11, 1.36.7, 1.37.3, 1.38.1 이상)으로 업데이트
🔧 검증 코드
출력된 버전이 취약점이 해결된 패치 버전 범위에 포함되는지 확인합니다.
envoy --version | grep -E 'v(1.35\.(1[0-9])?|1.36\.(7[0-9])?|1.37\.(3[0-9])?|1.38\.(1[0-9])?)'