🇰🇷 한글 설명
Lychee 7.7.0 미만 버전에서 ImageMagick의 PDF 지원 기능 사용 시 PDF 페이지 크기 제한이 제대로 적용되지 않는 취약점이 존재합니다. 인증된 사용자가 비정상적으로 큰 MediaBox를 가진 PDF를 업로드하면 CPU 자원을 과도하게 소모하여 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
사진 관리 프로그램인 Lychee에 아주 큰 크기로 설정된 PDF 파일을 올리면 컴퓨터의 계산 능력을 과도하게 사용하여 시스템이 느려지거나 멈출 수 있습니다. 이 문제는 인증된 사용자가 악의적인 파일을 업로드할 때 발생합니다.
🇺🇸 원문 (English)
Lychee is a free, open-source photo-management tool. Prior to 7.7.0, Lychee enables ImageMagick PDF support with Ghostscript but does not apply an effective pre-render limit to PDF page dimensions in ImagickHandler::loadPdf(). An authenticated user who can upload a small PDF with an oversized /MediaBox can cause Imagick::readImage() to consume substantial CPU before failing to produce an image. When QUEUE_CONNECTION selects synchronous processing the request can occupy a web worker, while the official asynchronous Docker configuration can clog the shared image-processing queue and delay other work. The advisory did not identify a Ghostscript sandbox escape. This issue is fixed in version 7.7.0.
📍 영향받는 시스템
Lychee version < 7.7.0
⚔️ 공격 벡터
인증된 사용자가 비정상적인 크기(Oversized MediaBox)를 가진 PDF 파일을 업로드하여 CPU 자원 고갈 유도
🛡️ 대응 방법
Lychee를 최신 버전인 7.7.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 7.7.0 미만의 버전 번호가 나타나면 취약한 상태이며, 7.7.0 이상이면 안전합니다.
curl -s http://<target_ip>/version | grep -E '7\.[0-7]\.'