🇰🇷 한글 설명
Apache MINA SSHD의 ssd-scp 컴포넌트에서 제어되지 않는 리소스 소비 취약점이 발견되었습니다. 공격자가 줄바꿈 문자(LF) 없이 무한히 긴 명령어를 전송할 경우, 수신 측에서 이를 저장하기 위해 메모리를 계속 할당하다가 OutOfMemoryError와 함께 애플리케이션이 중단될 수 있습니다.
💡 쉬운 설명
SCP 통신 중에 끝을 알 수 없는 아주 긴 데이터를 계속 보내서 컴퓨터의 메모리를 가득 채우는 공격입니다. 이로 인해 프로그램이 메모리 부족으로 인해 갑자기 멈추거나 꺼질 수 있습니다.
🇺🇸 원문 (English)
Uncontrolled resource consumption in component ssd-scp in Apache MINA SSHD versions up to 2.19.0 or 3.0.0-M1 to 3.0.0-M5. Apache MINA SSHD is a Java library for client-side and server-side SSH.
Component sshd-scp of Apache MINA SSHD provides a Java implementation of SCP. The SCP command protocol is line-oriented with LF-terminated lines. The protocol handler in sshd-scp did not impose any limit on the length of such protocol lines. A malicious peer just sending a junk command containing a never-ending sequence of characters but never a LF would cause the receiver to allocate memory to store this whole junk command, exhausting memory and crashing the application with an OutOfMemoryError.
Users are recommended to upgrade to version 2.20.0 or 3.0.0-M6, which fix this issue by enforcing an upper limit on the length of SCP protocol lines.
📍 영향받는 시스템
Apache MINA SSHD versions up to 2.19.0 or 3.0.0-M1 to 3.0.0-M5
⚔️ 공격 벡터
LF(줄바꿈) 문자가 없는 무한한 길이의 SCP 프로토콜 라인을 전송하여 메모리 고갈 유도
🛡️ 대응 방법
Apache MINA SSHD를 버전 2.20.0 또는 3.0.0-M6 이상으로 업그레이드
🔧 검증 코드
출력된 라이브러리 버전이 취약한 범위(2.19.0 이하 또는 3.0.0-M1~M5)에 해당하는지 확인
mvn dependency:list | grep 'org.apache.sshd:sshd-scp'