🇰🇷 한글 설명
Apache Tomcat의 특정 버전에서 HTTP/2로 업그레이드 시 HTTP/1.1 프로세서를 해제하지 않는 결함이 발견되었습니다. 공격자가 h2c 직접 연결을 통해 다수의 요청을 보내면 OutOfMemoryException이 발생하여 서비스 거부(DoS) 상태에 빠질 수 있습니다.
💡 쉬운 설명
서버가 통신 방식을 바꿀 때 이전 방식을 제대로 정리하지 못하는 버그입니다. 이 버그를 이용해 가짜 요청을 계속 보내면 서버의 메모리가 가득 차서 서비스가 멈출 수 있습니다.
🇺🇸 원문 (English)
An h2c direct connection to Apache Tomcat 10.0.0-M1 to 10.0.0-M6, 9.0.0.M5 to 9.0.36 and 8.5.1 to 8.5.56 did not release the HTTP/1.1 processor after the upgrade to HTTP/2. If a sufficient number of such requests were made, an OutOfMemoryException could occur leading to a denial of service.
📍 영향받는 시스템
Apache Tomcat 10.0.0-M1 ~ 10.0.0-M6, 9.0.0.M5 ~ 9.0.36, 8.5.1 ~ 8.5.56
⚔️ 공격 벡터
h2c 직접 연결을 이용한 대량의 HTTP/2 요청 전송
🛡️ 대응 방법
Apache Tomcat을 취약점이 해결된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
설치된 Tomcat의 버전을 확인하여 취약한 버전 범위에 포함되는지 대조하십시오.
curl -I http://localhost:8080/ | grep -i 'Server' || echo 'Tomcat version check required via package manager'