🇰🇷 한글 설명
pyasn1 라이브러리의 BER, CER, DER 디코더에서 OBJECT IDENTIFIER 및 RELATIVE-OID 값을 처리할 때 아크(arc) 수에 비례하여 이차 시간 복잡도가 발생하는 취약점입니다. 공격자가 정교하게 조작된 OID 페이로드를 전송하면 디코딩 과정에서 과도한 CPU 자원을 소모하여 서비스 거부(DoS)를 유발할 수 있습니다. 이 문제는 0.6.4 버전에서 수정되었습니다.
💡 쉬운 설명
특수하게 만들어진 데이터를 보내면 컴퓨터의 두뇌 역할을 하는 CPU를 과도하게 사용하여 프로그램이 멈추게 만드는 공격입니다. 데이터의 특정 부분을 처리할 때 계산량이 급격히 늘어나는 점을 악용합니다.
🇺🇸 원문 (English)
pyasn1 is a generic ASN.1 library for Python. Prior to 0.6.4, the BER, CER, and DER decoders process OBJECT IDENTIFIER and RELATIVE-OID values in quadratic time relative to the number of arcs, so a small crafted payload containing an OID with many arcs consumes excessive CPU per decode() call and can deny service to applications that decode untrusted ASN.1 data. The corresponding encoders have the same quadratic behavior when an application re-encodes previously decoded attacker-supplied values. This issue is fixed in version 0.6.4.
📍 영향받는 시스템
pyasn1 0.6.4 미만 버전
⚔️ 공격 벡터
신뢰할 수 없는 ASN.1 데이터를 포함한 조작된 OID 페이로드를 전송하여 디코딩 유도
🛡️ 대응 방법
pyasn1 라이브러리를 0.6.4 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 0.6.4 미만인지 확인
pip show pyasn1 | grep Version