CVE-2025-51846 – 무제한 WebSocket 프레임 홍수로 인한 원격 서비스 거부

심각도: 높음 (CVSS 7.5)
CWE: 400 – 통제되지 않은 리소스 소비 (리소스 고갈),
CWE: CWE-770 – 제한 또는 스로틀링 없는 리소스 할당
상태: 수정됨
확인된 영향: CryptPad 2025.3.1
CSAF 초안의 영향 범위: >=2025.3.1, <2026.2.1
수정 버전 참고: 조정자 초안은 현재 2026.2.1을 참조합니다. CryptPad는 나중에 2026.2.1의 버전 문제로 인해 실제 올바른 버그 수정 릴리스가 2026.2.2라고 밝혔습니다. 운영자는 게시된 CISA 권고 및 CryptPad 릴리스 노트에서 최종 수정 버전을 확인해야 합니다.

image

요약

CryptPad의 WebSocket 구현은 개별 프레임에 제한을 적용했지만, 연결당 처리되는 데이터 양과 프래그먼트 수에 대한 누적 제한을 충분히 적용하지 않았습니다.

RFC 6455에 따라 WebSocket 메시지는 여러 프레임으로 분할될 수 있습니다. 영향을 받는 버전에서는 유효한 프레임이나 프래그먼트된 메시지를 반복적으로 전송하면 서버 측 리소스 소비가 과도하게 발생할 수 있습니다.

원격의 인증되지 않은 공격자는 이 동작을 악용하여 합법적인 사용자의 서비스를 저하시키거나 거부할 수 있습니다. 테스트 결과, 높은 CPU 및 메모리 사용량, CryptPad UI 응답 불가, 문서/세션 로딩 실패, 높은 부하에서의 서비스 종료가 발생했습니다.

image

기술적 세부 사항

이 문제는 WebSocket 처리 경로에서 누적 리소스 계정이 부족하여 발생합니다. 개별 프레임은 크기 검사를 받을 수 있지만, 서버는 효과적인 연결당 누적 제한 없이 반복되는 유효한 프레임이나 프래그먼트를 계속 처리합니다.

실험실 테스트에서는 문제를 검증하기 위해 악의적으로 보이지 않는 여러 WebSocket 트래픽 패턴이 사용되었습니다:

프레임당 임계값 미만의 유효한 프레임 반복,
여러 연속 프레임으로 분할된 프래그먼트 메시지,
대량 트래픽을 보내는 병렬 WebSocket 연결.

이 테스트는 CryptPad가 개별적으로는 유효해 보이는 트래픽을 처리하는 동안 리소스를 계속 소비함을 보여주었습니다. 더 높은 실험실 부하에서 서비스를 사용할 수 없게 되었고 시스템 로그에는 메모리 고갈로 인한 프로세스 종료가 표시되었습니다.

전체 스트레스 테스트 스크립트는 프로덕션 CryptPad 인스턴스에 대한 남용을 방지하기 위해 .

cryptpad-cve-2025-51846-advisory

인기

개념 증명

영향

영향을 받는 버전

완화 조치

공급업체 입장

연구원 평가

공개 노트

👤 연구원