8월 28일 발생한 Virtualizor 업데이트 공격은 위조된 출발지 IP 주소를 사용하여 RPKI 검증을 악용했습니다. 이 공격은 Hetzner의 Route Origin Authorization (ROA)가 더 큰 IP 주소 블록을 포함하여 /24까지의 발표를 허용했기 때문에 성공했습니다. 결정적으로, 발표를 무효화할 더 구체적인 합법적인 /24 경로가 존재하지 않았습니다. 분석 결과, 이 취약점은 상당히 흔하며, RPKI로 보호되는 IPv4 경로의 16.2%와 IPv6 경로의 20.9%가 더 느슨한 ROA를 가지고 있는 것으로 나타났습니다. 이는 잠재적으로 수백만 개의 더 구체적이고 경쟁 없는 RPKI 유효 발표를 허용할 수 있습니다. 호스팅 제공업체는 ROA 구성 방식에 상당한 차이를 보입니다. RPKI 무효 경로는 점점 더 많이 삭제되고 있으며, 이는 현재 주요 위험이 RPKI 검증을 통과하는 경로에 있다는 것을 의미합니다. RFC 9319에 제안된 수정 사항은 ROA에서 maxLength 필드를 설정하지 않은 상태로 두는 것을 제안합니다. 이는 ROA가 발표되는 정확한 IP 블록과만 일치하도록 보장할 것입니다. 이 분석 방법론은 원본 게시물 끝에 자세히 설명되어 있습니다.