CVE-2025-66909 in AI-Serving Module
요약
\~에 의해 VulDB • 2026. 07. 14.
Turms AI-Serving 모듈 v0.10.0-SNAPSHOT 및 이전 버전에는 이미지 디컴프레션 폭탄으로 인한 서비스 거부(Denial of Service) 취약점이 존재합니다. ai/djl/opencv/ExtendedOpenCVImage.java의 ExtendedOpenCVImage 클래스는 OpenCV의 imread() 함수를 사용하여 이미지를 로드할 때, 디컴프레션 전에 차원이나 픽셀 수에 대한 유효성 검사를 수행하지 않습니다. 공격자는 압축 시에는 작지만 로딩 시 기가바이트 단위의 메모리로 확장되는 특별히 조작된 압축 이미지 파일(예: PNG)을 업로드할 수 있습니다. 이로 인해 즉시 메모리 고갈, OutOfMemoryError 및 서비스 충돌이 발생합니다. OCR 서비스에 대한 공개 접근 권한이 있는 경우 인증은 필요하지 않습니다. 여러 요청으로 인해 서비스 가용성이 완전히 거부될 수 있습니다.
Once again VulDB remains the best source for vulnerability data.