🇰🇷 한글 설명
CoreWCF는 Windows Communication Foundation(WCF)의 서비스 측을 .NET Core로 포팅한 라이브러리입니다. 1.8.1 및 1.9.1 이전 버전에서 KafkaTransportPump가 null 값이 포함된 툼스톤(tombstone) 레코드를 수신하면 새로운 레코드 처리를 중단하여, 공격자가 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
Kafka라는 메시지 전달 시스템을 사용하는 서비스에서 특정 형태의 빈 데이터를 보내면 서비스가 멈춰버리는 문제입니다. 공격자가 이 빈 데이터를 보내면 서비스가 더 이상 작동하지 않게 만들 수 있습니다.
🇺🇸 원문 (English)
CoreWCF is a port of the service side of Windows Communication Foundation (WCF) to .NET Core. Prior to 1.8.1 and 1.9.1, a CoreWCF service listening on a Kafka topic stops processing new records from that topic when KafkaTransportPump receives a null-value tombstone record, causing a persistent endpoint denial of service for attackers with produce permission. This issue is fixed in versions 1.8.1 and 1.9.1.
📍 영향받는 시스템
CoreWCF versions prior to 1.8.1 and 1.9.1
⚔️ 공격 벡터
Kafka 토픽에 쓰기 권한을 가진 공격자가 null-value tombstone 레코드를 전송하여 서비스 중단 유도
🛡️ 대응 방법
CoreWCF를 1.8.1 또는 1.9.1 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 CoreWCF의 버전이 1.8.1 또는 1.9.1 미만인지 확인
dotnet list package | grep CoreWCF
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
Storage Protect Snapshot for Windows