Sliver C2 Kill-Switch

Sliver C2의 프레임워크 전반의 취약점으로 인해 인증되지 않은 원격 서비스 거부(Denial of Service)가 가능하며, 제어되지 않는 메모리 할당(CWE-789 / CWE-400)을 유발하여 프로세스 전체의 메모리 부족(OOM) 충돌로 이어집니다.

참조: Tenable

재현 단계:

자격 증명 추출: 캡처했거나 생성한 Sliver 임플란트에서 mTLS 인증서와 개인 키를 확보합니다.
PoC 편집: mtls_poc.go를 열고 var 블록의 자리 표시자 값(c2Endpoint, clientCertPEM, clientKeyPEM)을 추출한 자격 증명으로 교체합니다.

Sliver 서버에 대해 익스플로잇을 실행합니다:

go run mtls_poc.go

이 익스플로잇은 악의적인 uint32 길이 접두사(최대 2 GiB)를 전송하여 socketReadEnvelope 함수를 악용합니다. 서버는 Ed25519 서명을 검증하기 전에 이 메모리를 할당하고, yamux는 최대 128개의 동시 스트림을 허용하므로, 공격자는 서버가 거의 즉시 약 256 GiB의 할당을 시도하도록 만들 수 있습니다.

시스템 메모리가 소진되면 Linux 커널의 OOM 킬러가 개입하여 sliver-server 프로세스에 SIGKILL이 발생합니다.

다음과 같이 서버 상태를 확인하여 이를 검증할 수 있습니다:

sudo dmesg | grep -i "kill"
systemctl status sliver

공식 보안 권고 GHSA-97vp-pwqj-46qc

팔레스타인 해방

CVE-2026-32941

인기