손상 입력의 과다 line_seg O(n²) 무한정지 DoS 방어 (#4813)

[kevin9327]

문제 (#4813)

퍼징(gym 손상-강건성 감사)이 rhwp 가 손상된 문서에서 유한 시간에 끝나지 않는(무한정지급) DoS 를 실측했다. 결정적 재현:

data = open("samples/hwp3-sample14.hwp", "rb").read()
b = bytearray(data); b[len(b)*10//100] ^= 0xFF   # 10% 지점 바이트 플립
open("hang.hwp", "wb").write(bytes(b))
# rhwp info hang.hwp --json    → 60초 초과, 종료 안 함
# rhwp export-text hang.hwp    → 종료 안 함

원인 — 계측으로 확정 (파서 아님, 렌더 경로)

이슈의 원인 추정은 HWP3 파서 순회 루프였으나, 임시 반복 카운터와 단계 마커로 계측한 결과 실제 폭주 지점은 파서가 아니라 렌더 경로였다:

• parse 는 정상 종료한다. info 는 compose(compose_lines) 단계에서, export-text 는 layout(build_page_tree) 단계에서 멈춘다 (둘 다 from_bytes → paginate/build_page_tree 경로).
• 손상본의 한 문단이 line_seg 25,856 개 > 문자 21,454 개(text_start=[0, 9203, 0, 0, …] 비단조)를 갖는다. line_seg 하나는 화면상 한 줄이고 한 줄은 문자를 최소 1개 담으므로, 정상 문서는 언제나 line_seg 수 ≤ 문자 수 + 1 이다.
• compose_lines·layout 은 line_seg 마다 para.text 를 다시 슬라이싱·배치하므로, 이 배열이 부풀면 O(line_seg 수 × 문단 길이) ≈ 5.5억 회 로 폭주한다 — 사실상 종료하지 않는 DoS.

수정

from_bytes 파싱 직후(compose/pagination/layout 이 저장 line_seg 를 소비하기 전) 물리적으로 불가능한 과다 line_seg 배열을 비우는 포맷 무관 가드 drop_corrupt_oversized_linesegs() 를 추가한다. 비운 문단은 기존 리플로우/합성 폴백(compose_lines 의 line_seg 부재 경로 등)이 텍스트로부터 정상 재구성한다. 상한을 문자 수 + 64 로 넉넉히 잡아 정상 문서(줄바꿈만 있는 문단 포함)는 절대 걸리지 않으므로 동작이 완전히 동일하다.

이슈는 HWP3 파서로 지목했으나, 근본 원인은 특정 포맷이 아니라 렌더러가 소비하는 손상 line_seg 배열이므로 로드 직후 공통 지점에 가드를 둔다(HWP3 전용 분기 없음).

검증

• 재현 해소: 손상본 info 무한정지 → 0.23s, export-text → 1.78s 종료(정상 오류/성공, 패닉 없음).
• 정상 회귀 없음: 정상 문서 10종(HWP3 원본 hwp3-sample14·hwp3-sample10, HWP5, HWPX)의 info·export-text 출력이 수정 전/후 바이트 동일(SHA-256 비교).
• 회귀 테스트 2건 추가: 손상 배열 제거 / 정상 문단 보존.
• cargo test --lib 전량 통과, rustfmt --edition 2021 --check·cargo clippy --lib 무경고.

비고

같은 퍼징 세트의 다른 표본(issue2063_huge_cellbreak_table.hwp, hwp3-sample10-hwp5.hwp)은 90초 계측 결과 유한 시간에 종료(디버그 빌드에서 느릴 뿐)했다 — 과다 line_seg 가 아닌 별개 원인이라 본 PR 범위 밖이다.

Closes #4813

[chatgpt-codex-connector]

You have reached your Codex usage limits for code reviews. You can see your limits in the Codex usage dashboard.

[jangster77]

통합 PR #4883(4412546)로 병합 완료했습니다.

원 head와 CI를 다시 확인해 누적 반영했고, 상세 검토·메인터너 보정·검증 근거는 archive 검토 기록에 남겼습니다.

중복 병합을 막기 위해 이 원 PR을 닫습니다. 감사합니다.