Skip to content

Translate "Security advisories: CVE-2026-80212 and CVE-2026-80213" (ko) #4051

New issue

Have a question about this project? Sign up for a free GitHub account to open an issue and contact its maintainers and the community.

Sign up for GitHub

By clicking “Sign up for GitHub”, you agree to our terms of service and privacy statement. We’ll occasionally send you account related emails.

Already on GitHub? Sign in to your account

Open
riseshia wants to merge 2 commits into
base: master
Choose a base branch
from
Open

Translate "Security advisories: CVE-2026-80212 and CVE-2026-80213" (ko) #4051

Changes from all commits
Commits
Show all changes
2 commits
Select commit Hold shift + click to select a range
72cf58e
cp {en,ko}/news/_posts/2026-08-27-multiple-vulnerabilities-in-resolv.md
riseshia Oct 24, 2026
487de63
Translate "Security advisories: CVE-2026-80212 and CVE-2026-80213" (ko)
riseshia Oct 24, 2026
File filter

Filter by extension

Filter by extension
Conversations
Failed to load comments.
Loading
Jump to
Jump to file
Failed to load files.
Loading
Diff view
Diff view
46 changes: 46 additions & 0 deletions ko/news/_posts/2026-08-27-multiple-vulnerabilities-in-resolv.md
View file
Open in desktop
Original file line number Diff line number Diff line change
@@ -0,0 +1,46 @@
---
layout: news_post
title: "보안 권고: CVE-2026-80212, CVE-2026-80213"
author: "hsbt"
translator: "shia"
date: 2026-08-27 00:00:00 +0000
tags: security
lang: ko
---

Ruby에 포함된 `resolv` gem에서 취약점 2건이 발견되었습니다. 이 취약점들은 CVE 번호 [CVE-2026-80212](https://www.cve.org/CVERecord?id=CVE-2026-80212)와 [CVE-2026-80213](https://www.cve.org/CVERecord?id=CVE-2026-80213)으로 등록되었습니다. resolv gem을 업그레이드하는 것을 권장합니다.

## CVE-2026-80212: 악의적인 DNS 응답을 통한 메모리 고갈

웹훅 대상이나 사용자가 입력한 URL처럼 공격자가 영향을 줄 수 있는 호스트 이름을 조회하는 애플리케이션은 메모리를 끝없이 소비하게 될 수 있습니다. 공격자는 도메인이 자신이 제어하는 네임 서버를 가리키게 하고, 라이브러리가 영구적으로 보관하는 응답을 반환합니다. 조회가 반복될수록 프로세스가 커지고, 결국 메모리가 부족해져 서비스가 중단됩니다.

## CVE-2026-80213: 호스트 이름 검증 우회

호스트 이름을 허용 목록이나 SSRF 필터로 검사한 뒤 조회하는 애플리케이션이 검사한 것과 다른 도메인을 조회하게 될 수 있습니다. 검증을 통과한 문자열과 실제로 네트워크에 전달되는 이름이 같지 않으므로, 애플리케이션이 허용하지 않은 호스트에 연결될 수 있습니다. 이 문제는 DNS 길이 제한을 넘는 호스트 이름이 필요하므로, 255옥텟보다 긴 이름이나 63옥텟보다 긴 레이블을 거부하는 검증은 영향을 받지 않습니다.

## 해당 버전

* resolv gem 0.4.0부터 0.7.1까지
* resolv gem 0.3.1 이하

Ruby에 포함된 버전은 버전대마다 다릅니다. Ruby 4.0에는 resolv 0.7.0이, Ruby 3.4에는 0.7.1이, Ruby 3.3에는 0.3.1이 포함되어 있습니다.

## 확인할 사항

이 gem을 통해 이름을 조회하는 코드만 영향을 받습니다. `Net::HTTP`나 `TCPSocket` 기반의 코드를 포함한 일반적인 소켓 연결은 운영체제의 리졸버를 사용하므로 영향을 받지 않습니다. `Net::HTTP`도 이 gem을 불러오지만 IP 주소 정규표현식을 사용하기 위해서일 뿐이므로, gem이 로드되었다는 것만으로는 영향을 받는다고 볼 수 없습니다.

애플리케이션이 영향을 받는 코드에 도달하는 경로는 `Resolv`를 직접 호출하는 경우, 모든 소켓의 이름 조회를 이 gem으로 처리하게 하는 `resolv-replace`를 불러오는 경우, 또는 이런 방식으로 이름을 조회하는 의존성을 사용하는 경우입니다. 직접 작성한 코드뿐만 아니라 의존성도 확인해 주세요.

## 권장 조치

resolv gem을 0.7.2로 업데이트하세요. Ruby 3.3 버전대에서는 0.3.2로 업데이트하세요.

Ruby 3.2 버전대는 지원이 종료(EOL)되었으므로, Ruby 3.2에 포함된 0.2.x 계열의 릴리스는 예정되어 있지 않습니다. 대신 resolv 0.7.2를 설치하세요.

## 도움을 준 사람

이 문제를 발견해 준 [dalifit](https://hackerone.com/dalifit)에게 감사를 표합니다.

## 수정 이력

* 2026-08-27 00:00:00 (UTC) 최초 공개
Loading