🇰🇷 한글 설명
Perl의 HTML::Bare 0.04 이하 버전에서 발생하는 취약점으로, parserc_parse 함수가 버퍼 범위를 확인하지 않고 문자를 미리 읽는 과정에서 발생합니다. 잘린 문자열과 같은 특정 입력이 들어올 경우 경계 외 읽기(Out-of-bounds read)가 발생할 수 있습니다.
💡 쉬운 설명
프로그램이 데이터를 읽을 때 정해진 범위를 넘어서서 잘못된 메모리 영역을 들여다보는 문제입니다. 이로 인해 프로그램이 갑자기 종료되거나 시스템 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
HTML::Bare versions through 0.04 for Perl have an unbounded character lookahead.
The parserc_parse function attempts to check for multicharacter strings such as "<![CDATA" or element terminators such as ">" without checking that the offsets are within the buffer.
Truncated strings such as "<a/" can trigger an out-of-bounds read.
Note that the latest version available on CPAN is version 0.02. Newer versions are available on the git repository.
📍 영향받는 시스템
Perl HTML::Bare versions through 0.04
⚔️ 공격 벡터
특수하게 조작된(잘린 형태의) HTML 문자열을 파서에 입력하여 경계 외 메모리 읽기 유도
🛡️ 대응 방법
CPAN의 최신 버전 대신 Git 저장소에서 제공되는 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.04 이하이면 취약한 버전이 설치된 것입니다.
perl -MHTML::Bare -e 'print $HTML::Bare::VERSION . "\n"' 2>/dev/null