🇰🇷 한글 설명
Apache MINA SSHD의 sshd-sftp 컴포넌트에서 SFTP v6의 check-file-name/check-file-handle 확장 기능을 사용할 때 서버 측 메모리 고갈이 발생할 수 있습니다. 매우 작은 블록 크기를 사용하여 거대한 파일을 처리할 경우, 생성된 수많은 해시 값이 서버 메모리에 모두 누적되어 서버가 다운될 수 있습니다.
💡 쉬운 설명
해커가 아주 작은 단위로 쪼개진 거대한 파일을 요청하여 서버의 메모리를 순식간에 가득 채우는 공격입니다. 이로 인해 서버가 처리할 수 있는 메모리가 바닥나 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
Server-side memory exhaustion in Apache MINA SSHD 1.0.0 to 2.19.0 and 3.0.0-M1 to 3.0.0-M5, component sshd-sftp, in the SFTP v6 check-file-name/check-file-handle extension. Apache MINA SSHD is a Java library for client-side and server-side SSH.
Using a very small "block size" (for instance 256, which is the minimum) on a huge file generates many (file size / block size) hashes. The resulting SFTP reply message was accumulated fully in memory server-side, which could, with a suitably large (possibly sparse) file exhaust the server-side memory, taking down the server.
Users are recommended to upgrade to version 2.20.0 or 3.0.0-M6, which fix this issue by imposing a maximum limit on the size of the reply. Many SFTP implementations have a general limit on the size of SFTP messages anyway; typically 256kB as in OpenSSH or also in Apache MINA SSHD.
📍 영향받는 시스템
Apache MINA SSHD 1.0.0 ~ 2.19.0 및 3.0.0-M1 ~ 3.0.0-M5
⚔️ 공격 벡터
SFTP v6 확장 기능을 이용해 매우 작은 블록 크기로 대용량 파일에 대한 해시 계산을 요청하여 서버 메모리 점유
🛡️ 대응 방법
Apache MINA SSHD를 버전 2.20.0 또는 3.0.0-M6 이상으로 업그레이드
🔧 검증 코드
출력된 라이브러리 버전이 취약한 범위(1.0.0-2.19.0 또는 3.0.0-M1-M5)에 해당하는지 확인
mvn dependency:list | grep 'org.apache.sshd:sshd-core'