🇰🇷 한글 설명
GoBGP 4.7.0 미만 버전에서 BGP UPDATE 디코딩 중 길이가 0인 AS_PATH를 허용하여 발생하는 취약점입니다. 이로 인해 confederation eBGP 피어의 속성을 검증하는 과정에서 패닉이 발생하여 서비스 거부(DoS) 상태에 빠질 수 있습니다.
💡 쉬운 설명
네트워크 경로 정보가 비어 있는 잘못된 데이터를 보내면 프로그램이 갑자기 멈춰버리는 문제입니다. 이로 인해 네트워크 연결 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
GoBGP is an open source Border Gateway Protocol (BGP) implementation in the Go Programming Language. Prior to version 4.7.0, GoBGP accepts a zero-length AS_PATH during UPDATE decoding and later panics while validating that attribute for a confederation eBGP peer. The vulnerable path is in the BGP UPDATE validator: a malformed UPDATE that should be rejected as a malformed AS_PATH instead reaches an unchecked `p.Value[0]` access, allowing a configured confederation eBGP peer to trigger a denial of service. Version 4.7.0 patches the issue.
📍 영향받는 시스템
GoBGP version < 4.7.0
⚔️ 공격 벡터
조작된(zero-length AS_PATH) BGP UPDATE 메시지를 전송하여 대상 시스템의 패닉 유도
🛡️ 대응 방법
GoBGP를 최신 버전인 4.7.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.7.0 미만이면 취약한 상태입니다.
gobgp version 2>/dev/null | grep -E 'version'