🇰🇷 한글 설명
Apache Tomcat의 HTTP/2 구현에서 발생한 미흡한 패치로 인해 연결 윈도우 고갈 문제가 발생합니다. 클라이언트가 WINDOW_UPDATE 메시지를 보내지 않음으로써 서버 측 스레드를 차단시키고, 결과적으로 스레드 고갈을 유발하여 서비스 거부(DoS) 공격이 가능합니다.
💡 쉬운 설명
서버가 데이터를 보낼 준비가 되었는지 확인하는 신호를 제대로 처리하지 못해 발생하는 문제입니다. 공격자가 이 허점을 이용해 서버의 작업 인력을 모두 점유하게 만들어 웹사이트를 마비시킬 수 있습니다.
🇺🇸 원문 (English)
The fix for CVE-2019-0199 was incomplete and did not address HTTP/2 connection window exhaustion on write in Apache Tomcat versions 9.0.0.M1 to 9.0.19 and 8.5.0 to 8.5.40 . By not sending WINDOW_UPDATE messages for the connection window (stream 0) clients were able to cause server-side threads to block eventually leading to thread exhaustion and a DoS.
📍 영향받는 시스템
Apache Tomcat 9.0.0.M1 ~ 9.0.19 및 8.5.0 ~ 8.5.40
⚔️ 공격 벡터
HTTP/2 프로토콜을 사용하여 WINDOW_UPDATE 메시지를 전송하지 않는 방식으로 서버 스레드 고갈 유도
🛡️ 대응 방법
Apache Tomcat을 9.0.20 또는 8.5.41 이상의 최신 보안 패치 버전으로 업데이트
🔧 검증 코드
명령어 결과에 취약한 버전 범위(9.0.0-9.0.19 또는 8.5.0-8.5.40)가 나타나면 취약한 상태입니다.
java -cp /path/to/tomcat/lib/catalina.jar org.apache.catalina.util.ServerInfo | grep -E '9.0\.(0|[1-9]|1[0-9])|8.5\.([0-9]|[1-3][0-9]|40)'