🇰🇷 한글 설명
Apache Commons Fileupload 1.3.2 이전 버전의 MultipartStream 클래스가 비정상적으로 긴 boundary 문자열을 처리할 때 과도한 CPU 자원을 소비하는 서비스 거부(DoS) 취약점입니다. Apache Tomcat 7.x, 8.x, 8.5.x, 9.x 등 여러 제품에 영향을 미칩니다.
💡 쉬운 설명
파일을 업로드할 때 서버에 매우 긴 구분 문자열을 보내면, 서버가 이를 처리하느라 CPU를 낭비해 다른 사용자들의 요청이 느려집니다. 이를 통해 공격자가 서버를 마비시킬 수 있습니다.
🇺🇸 원문 (English)
The MultipartStream class in Apache Commons Fileupload before 1.3.2, as used in Apache Tomcat 7.x before 7.0.70, 8.x before 8.0.36, 8.5.x before 8.5.3, and 9.x before 9.0.0.M7 and other products, allows remote attackers to cause a denial of service (CPU consumption) via a long boundary string.
📍 영향받는 시스템
Apache Tomcat 7.0.0-7.0.69, 8.0.0-8.0.35, 8.5.0-8.5.2, 9.0.0.M1-9.0.0.M6 및 Apache Commons Fileupload 1.3.1 이전
⚔️ 공격 벡터
HTTP POST 요청의 multipart/form-data 바디에서 boundary 파라미터를 비정상적으로 길게 설정하여 전송
🛡️ 대응 방법
Apache Commons Fileupload를 1.3.2 이상으로 업그레이드하거나, Apache Tomcat을 최신 패치 버전으로 업데이트
🔧 검증 코드
설치된 Tomcat과 commons-fileupload 버전을 확인하여, 위에서 언급한 영향받는 버전 범위에 포함되는지 확인합니다.
dpkg -l | grep -E '(tomcat|commons-fileupload)' | awk '{print $2, $3}'