🇰🇷 한글 설명
Klever-Go의 1.7.14부터 1.7.17 버전에서 원격으로 트리거 가능한 서비스 거부(DoS) 취약점이 발견되었습니다. Gin Engine의 기본 HTTP 서버 설정에 타임아웃 및 헤더 크기 제한이 없어, 요청 헤더를 완성하지 않는 연결을 무한정 유지할 수 있습니다. 공격자가 다수의 느린 헤더 연결을 생성하면 서버의 파일 디스크립터가 고갈되어 정상적인 API 요청을 처리할 수 없게 됩니다.
💡 쉬운 설명
서버가 손님을 맞이할 때, 말을 끝내지 않고 계속 머물러 있는 사람들을 제한 없이 계속 받아주는 문제입니다. 공격자가 이런 사람들을 가득 채우면 정작 진짜 손님들은 가게에 들어오지 못하게 됩니다.
🇺🇸 원문 (English)
Klever-Go is the Go implementation of the Klever blockchain protocol. Versions from 1.7.14 through 1.7.17 are vulnerable to a remotely triggerable denial of service. Both REST APIs are started with the Gin Engine.Run convenience method, which serves requests through Go's default HTTP server with no ReadHeaderTimeout, ReadTimeout, or MaxHeaderBytes configured. As a result, incoming connections that never complete their request headers are held open indefinitely. When a REST listener is reachable beyond localhost through the documented all-interface bind or a Docker port-publish deployment, a single unauthenticated client can open many slow-header connections and hold them open until server file descriptors are exhausted, preventing the API from accepting new connections. This renders the REST API unavailable to legitimate clients. This issue is fixed in version 1.7.18.
📍 영향받는 시스템
Klever-Go versions 1.7.14 through 1.7.17
⚔️ 공격 벡터
네트워크를 통해 연결을 맺은 후 HTTP 요청 헤더를 의도적으로 전송하지 않고 유지하여 서버 자원을 고갈시키는 방식
🛡️ 대응 방법
Klever-Go를 취약점이 해결된 버전인 1.7.18 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 v1.7.14에서 v1.7.17 사이의 버전이 출력되면 취약한 상태입니다.
go list -m github.com/klever-blockchain/klever-go 2>/dev/null | grep -E 'v1.7\.(1[4-7])'