🇰🇷 한글 설명
websocket-driver 0.8.2 미만 버전에서 WebSocket::Driver.server() 함수가 잘못된 형식의 Host 헤더를 URI.parse로 전달할 때 URI::InvalidURIError를 처리하지 못하는 취약점이 존재합니다. 이로 인해 애플리케이션이 해당 오류를 별도로 처리하지 않을 경우, 원격 클라이언트가 TCP 기반 WebSocket 서버를 강제로 종료(Crash)시킬 수 있습니다.
💡 쉬운 설명
공격자가 조작된 데이터를 보내 서버가 처리할 수 없는 요청을 만들면 서버 프로그램이 갑자기 꺼져버릴 수 있습니다. 이로 인해 서비스가 중단되는 장애가 발생할 수 있습니다.
🇺🇸 원문 (English)
websocket-driver is a WebSocket protocol handler with pluggable I/O. Prior to 0.8.2, WebSocket::Driver.server() passes a malformed Host header to URI.parse in lib/websocket/http/request.rb without catching URI::InvalidURIError, allowing a remote client to crash a TCP-backed WebSocket server when the application does not catch the error from parse(). This issue is fixed in version 0.8.2.
📍 영향받는 시스템
websocket-driver 0.8.2 미만 버전
⚔️ 공격 벡터
조작된 Host 헤더를 포함한 WebSocket 연결 요청을 통한 서비스 거부(DoS) 공격
🛡️ 대응 방법
websocket-driver 라이브러리를 0.8.2 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.8.2 미만인지 확인하십시오.
gem list websocket-driver
💻 영향받는 소프트웨어
IBM WebSphere Application Server