🇰🇷 한글 설명
github.com/temporalio/tchannel-go 라이브러리에서 체크섬 메타데이터는 포함되어 있으나 길이 접두사가 붙은 인자 청크가 없는 TChannel 호출 파편을 적절히 거부하지 못하는 취약점이 발견되었습니다. 공격자가 조작된 호출 파편을 전송할 경우 Go 슬라이스 범위 초과 패닉(slice-bounds panic)이 발생하여 호스트 프로세스가 종료됩니다. 이로 인해 신뢰할 수 없는 피어에게 리스너를 노출한 애플리케이션에 원격 서비스 거부(DoS) 공격이 가능합니다.
💡 쉬운 설명
특수하게 조작된 네트워크 메시지를 보내면 프로그램이 갑자기 멈추거나 꺼지게 만드는 취약점입니다. 공격자가 이 방법을 사용하면 서비스가 중단되어 정상적인 이용이 불가능해질 수 있습니다.
🇺🇸 원문 (English)
github.com/temporalio/tchannel-go did not reject TChannel call fragments containing checksum metadata but no length-prefixed argument chunks. The fragment reader left its chunk slice empty and then unconditionally selected the first element. A network peer can supply such a malformed call fragment, including as a direct initial call request after completing the standard initialization handshake. On that inbound path, the resulting unrecovered Go slice-bounds panic occurs on a library-created dispatch goroutine and terminates the hosting process. This allows remote denial of service against applications that expose the listener to untrusted peers. The impact is limited to availability; no confidentiality or integrity impact was identified.
📍 영향받는 시스템
github.com/temporalio/tchannel-go 라이브러리를 사용하는 모든 Go 기반 애플리케이션
⚔️ 공격 벡터
네트워크를 통해 조작된 TChannel 호출 파편(malformed call fragment)을 전송하여 서비스 거부 유도
🛡️ 대응 방법
tchannel-go 라이브러리를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 모듈 버전이 취약점이 해결된 패치 버전인지 확인하십시오.
go list -m github.com/temporalio/tchannel-go