🇰🇷 한글 설명
Netty 4.1.71.Final 이전 버전에서 HTTP 헤더 이름의 시작 또는 끝에 제어 문자가 포함될 경우 이를 건너뛰는 취약점이 발견되었습니다. 이는 HTTP 요청 스머글링(Request Smuggling) 공격으로 이어질 수 있으며, 프록시 서버가 헤더 이름을 임의로 수정하여 원격 시스템의 검증을 우회할 수 있게 합니다.
💡 쉬운 설명
웹 서버가 헤더 이름에 들어있는 잘못된 문자를 자동으로 지워버리는 문제가 있습니다. 이로 인해 공격자가 서버를 속여서 몰래 다른 요청을 끼워 넣는 공격을 할 수 있습니다.
🇺🇸 원문 (English)
Netty is an asynchronous event-driven network application framework for rapid development of maintainable high performance protocol servers & clients. Netty prior to version 4.1.71.Final skips control chars when they are present at the beginning / end of the header name. It should instead fail fast as these are not allowed by the spec and could lead to HTTP request smuggling. Failing to do the validation might cause netty to "sanitize" header names before it forward these to another remote system when used as proxy. This remote system can't see the invalid usage anymore, and therefore does not do the validation itself. Users should upgrade to version 4.1.71.Final.
📍 영향받는 시스템
Netty versions prior to 4.1.71.Final
⚔️ 공격 벡터
HTTP 헤더 이름의 시작이나 끝에 제어 문자를 삽입하여 프록시와 백엔드 서버 간의 해석 차이를 유도함
🛡️ 대응 방법
Netty 버전을 4.1.71.Final 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 Netty 버전이 4.1.71.Final보다 낮은지 확인하십시오.
mvn dependency:list | grep netty-all
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server