🇰🇷 한글 설명
Klever-Go 1.7.20 미만 버전에서 GET /subscribe 엔드포인트가 인증 없이 WebSocket 연결을 허용하며 메시지 크기 및 연결 수 제한이 없습니다. 공격자가 무제한으로 구독 목록을 늘리거나 다수의 연결을 유지함으로써 메모리 및 스케줄러 자원을 고갈시켜 노드를 중단시킬 수 있습니다.
💡 쉬운 설명
해커가 인증 없이 서버에 수많은 연결을 만들어 서버의 메모리를 가득 채울 수 있는 취약점입니다. 이로 인해 서버가 멈추거나 블록체인 네트워크 운영이 중단될 수 있습니다.
🇺🇸 원문 (English)
Klever-Go is the Go implementation of the Klever blockchain protocol. Prior to 1.7.20, the default-open GET /subscribe endpoint in network/api/websocket/routes.go accepts unauthenticated WebSocket clients with permissive origin handling, does not call SetReadLimit to bound message size, and has no live-connection cap. SocketHub.HandleClientInsertion also accepts an unbounded address list that grows addressSubscription, and client.loopIn continues reading without a size limit, allowing one client to grow subscription maps or many clients to retain goroutines, buffered channels, and descriptors. The global HTTP request throttler does not count upgraded live WebSocket connections. Because the REST and WebSocket API runs in the node process, memory or scheduler exhaustion can crash the node and interrupt P2P and consensus participation. This issue is fixed in version 1.7.20.
📍 영향받는 시스템
Klever-Go 1.7.20 미만 모든 버전
⚔️ 공격 벡터
인증되지 않은 WebSocket 연결을 통한 대량의 구독 요청 및 메시지 전송 (DoS)
🛡️ 대응 방법
Klever-Go를 1.7.20 버전 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 Klever-Go의 버전을 확인하여 1.7.20 미만인지 확인합니다.
go version | grep -i 'klever-go' || echo 'Check installed klever-go version'