🇰🇷 한글 설명
Hoverfly 1.12.8 미만 버전에서 원격 post-serve 액션이 타임아웃 설정이 없는 http.DefaultClient를 사용하여 발생합니다. 공격자가 응답하지 않는 엔드포인트를 지정하면 무한히 대기하는 고루틴이 생성되어 메모리 고갈 및 프로세스 충돌을 유발할 수 있습니다.
💡 쉬운 설명
프로그램이 응답이 없는 웹사이트에 연결을 시도할 때, 무한정 기다리느라 컴퓨터의 메모리를 모두 써버려 프로그램이 꺼지게 만드는 취약점입니다. 공격자가 일부러 대답 없는 주소를 알려주어 시스템을 마비시킬 수 있습니다.
🇺🇸 원문 (English)
Hoverfly is an open source API simulation tool. Prior to version 1.12.8, remote post-serve actions use `http.DefaultClient` without any timeout configuration. When the remote endpoint is unreachable or intentionally slow (accepts TCP connection but never responds), each triggered proxy request spawns a goroutine that blocks indefinitely on `http.DefaultClient.Do()`. An attacker can cause unbounded goroutine accumulation leading to memory exhaustion and process crash (OOM kill). Unlike local post-serve action execution, this requires no binary execution, only a URL pointing to a non-responsive endpoint. Version 1.12.8 patches the issue.
📍 영향받는 시스템
Hoverfly version < 1.12.8
⚔️ 공격 벡터
응답하지 않는 URL을 post-serve 액션으로 설정하여 무한 고루틴 생성 유도
🛡️ 대응 방법
Hoverfly를 1.12.8 버전 이상으로 업데이트
🔧 검증 코드
명령어 결과에 1.12.8 미만의 버전 번호가 출력되면 취약한 상태입니다.
hoverfly --version 2>/dev/null | grep -E '1\.(1[2-9]|1[3-9]|[2-9][0-9])\.'