wxdou/cve-2025-63914CVE-2025-63914에 대한 공개 및 패치: Cinnamon/kotaemon의 Zip bomb 취약점
CVE-2025-63914에 대한 공개 공개 및 패치: Cinnamon/kotaemon의 Zip bomb 취약점.
Wang Yuanrong
_may_extract_zip 함수는 ZIP 압축 해제에 대한 제한을 적용하지 않아 악성 ZIP bomb이 과도한 리소스 소비와 서비스 거부(denial of service)를 유발할 수 있습니다.
\libs\ktem\ktem\index\file\ui.py 파일의 _may_extract_zip 함수는 업로드된 ZIP 파일의 내용을 확인하지 않습니다. 내용은 각 추출 전에 비워지는 임시 폴더에 압축 해제되지만, ZIP bomb을 성공적으로 업로드하면 압축 해제 중 서버가 과도한 리소스를 소비할 수 있습니다. 더욱이 이후에 추가 파일이 업로드되지 않으면 추출된 데이터가 디스크 공간을 차지하여 시스템을 사용 불가능하게 만들 수 있습니다. 파일 업로드 권한이 있는 사람은 누구나 이 공격을 수행할 수 있습니다.
다음 명령을 사용하여 최신 이미지를 가져와 실행합니다:
docker run \
--name kotaemon \
-e GRADIO_SERVER_NAME=0.0.0.0 \
-e GRADIO_SERVER_PORT=7860 \
-v /home/kali/ktem_app_data/:/app/ktem_app_data \
-p 7860:7860 -d \
ghcr.io/cinnamon/kotaemon:0.11.0-full
극한의 압축률을 달성하기 위해 반복되는 바이트로 구성된 압축률이 매우 높은 페이로드를 생성합니다.
이 과정에서 리소스 소비로 인한 속도 저하가 발생할 수 있으며, 임시 디렉터리의 크기를 확인할 수 있습니다.
이 리소스 사용은 다른 파일이 업로드되지 않는 경우에도 유지됩니다.
파일 업로드 권한이 있는 공격자는 통제되지 않은 디스크, CPU 및 메모리 소비를 유발하는 조작된 ZIP 아카이브를 제출하여 서비스 중단 또는 호스트 장애를 일으킬 수 있습니다. 최신 릴리스(0.11.0)를 포함한 모든 인스턴스가 영향을 받습니다.
이 저장소에는 테스트용 ZIP bomb과 버전 0.11.0에 대한 해당 패치가 제공됩니다.
패치 개요:
패치 적용 후, ZIP bomb이 제출되면 경고가 표시되고 작업이 거부됩니다:
