🇰🇷 한글 설명
Python HPACK 라이브러리 v1.0.0~v2.2.0을 사용하는 HTTP/2 구현은 HPACK Bomb 공격의 대상이 될 수 있습니다. 공격자가 동적 헤더 테이블 크기와 동일한 헤더 필드를 삽입하고 반복 요청하여 4,096배 이상의 압축률을 달성하면, 16KB 데이터가 64MB로 확장되어 서비스 거부를 초래합니다.
💡 쉬운 설명
HTTP/2의 헤더 압축 기능을 악용해 작은 데이터가 엄청나게 큰 크기로 팽창하게 만드는 공격입니다. 공격자는 단 16KB 데이터로 서버의 메모리를 64MB까지 소비하게 하여 서비스를 중단시킬 수 있습니다.
🇺🇸 원문 (English)
A HTTP/2 implementation built using any version of the Python HPACK library between v1.0.0 and v2.2.0 could be targeted for a denial of service attack, specifically a so-called "HPACK Bomb" attack. This attack occurs when an attacker inserts a header field that is exactly the size of the HPACK dynamic header table into the dynamic header table. The attacker can then send a header block that is simply repeated requests to expand that field in the dynamic table. This can lead to a gigantic compression ratio of 4,096 or better, meaning that 16kB of data can decompress to 64MB of data on the target machine.
📍 영향받는 시스템
Python HPACK library v1.0.0 ~ v2.2.0을 의존하는 모든 HTTP/2 서버 및 클라이언트 구현
⚔️ 공격 벡터
특수 제작된 HTTP/2 헤더를 반복 전송하여 동적 헤더 테이블을 무한정 확장시키는 메모리 기반 DoS 공격
🛡️ 대응 방법
Python HPACK 라이브러리를 v2.3.0 이상으로 즉시 업그레이드
🔧 검증 코드
설치된 HPACK의 버전이 2.3.0 이상이면 안전, 2.2.0 이하면 취약점 존재
pip list | grep -i hpack || pip show hpack 2>/dev/null | grep -E 'Version'