🇰🇷 한글 설명
Apache Tomcat의 HTTP/2 요청 처리 과정에서 부적절한 입력 검증으로 인해 발생하는 서비스 거부(DoS) 취약점입니다. 헤더 제한을 초과하는 요청이 들어올 경우, 모든 헤더가 처리될 때까지 관련 HTTP/2 스트림이 초기화되지 않아 시스템 자원을 소모할 수 있습니다.
💡 쉬운 설명
웹 서버가 너무 많은 정보를 담은 요청을 받았을 때, 이를 즉시 거절하지 못하고 끝까지 읽으려다 서버가 마비되는 문제입니다. 이로 인해 정상적인 사용자가 웹사이트에 접속하지 못할 수 있습니다.
🇺🇸 원문 (English)
Denial of Service due to improper input validation vulnerability for HTTP/2 requests in Apache Tomcat. When processing an HTTP/2 request, if the request exceeded any of the configured limits for headers, the associated HTTP/2 stream was not reset until after all of the headers had been processed.This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.0-M16, from 10.1.0-M1 through 10.1.18, from 9.0.0-M1 through 9.0.85, from 8.5.0 through 8.5.98. Other, older, EOL versions may also be affected.
Users are recommended to upgrade to version 11.0.0-M17, 10.1.19, 9.0.86 or 8.5.99 which fix the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1 ~ 11.0.0-M16, 10.1.0-M1 ~ 10.1.18, 9.0.0-M1 ~ 9.0.85, 8.5.0 ~ 8.5.98 및 기타 EOL 버전
⚔️ 공격 벡터
설정된 헤더 제한을 초과하는 특수하게 조작된 HTTP/2 요청을 전송하여 서버 자원을 고갈시킴
🛡️ 대응 방법
Apache Tomcat을 수정 버전인 11.0.0-M17, 10.1.19, 9.0.86 또는 8.5.99 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위에 포함되는지 확인하여 보안 상태를 판단합니다.
find / -name tomcat-*.jar 2>/dev/null | xargs grep -h 'Implementation-Version' 2>/dev/null || echo 'Tomcat not found or version check failed'