🇰🇷 한글 설명
Apache Tomcat에서 HTTP/2 스트림 처리 중 예외 상황을 부적절하게 처리하여 발생하는 제어되지 않은 리소스 소비 취약점입니다. 과도한 HTTP 헤더가 포함된 스트림 처리 시 활성 스트림 수가 잘못 계산되어, 종료되어야 할 연결이 무한 타임아웃 상태로 유지될 수 있습니다.
💡 쉬운 설명
웹 서버가 HTTP/2 통신을 처리할 때 헤더 정보를 잘못 계산하여 연결을 끊지 못하는 문제입니다. 이로 인해 서버의 자원이 계속 사용되어 서버가 느려지거나 멈출 수 있습니다.
🇺🇸 원문 (English)
Improper Handling of Exceptional Conditions, Uncontrolled Resource Consumption vulnerability in Apache Tomcat. When processing an HTTP/2 stream, Tomcat did not handle some cases of excessive HTTP headers correctly. This led to a miscounting of active HTTP/2 streams which in turn led to the use of an incorrect infinite timeout which allowed connections to remain open which should have been closed.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.0-M20, from 10.1.0-M1 through 10.1.24, from 9.0.0-M1 through 9.0.89.
The following versions were EOL at the time the CVE was created but are
known to be affected: 8.5.0 though 8.5.100. Other EOL versions may also be affected.
Users are recommended to upgrade to version 11.0.0-M21, 10.1.25 or 9.0.90, which fixes the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~M20, 10.1.0-M1~10.1.24, 9.0.0-M1~9.0.89, 8.5.0~8.5.100
⚔️ 공격 벡터
과도한 HTTP 헤더를 포함한 HTTP/2 스트림 요청을 전송하여 서버의 연결 자원을 점유함
🛡️ 대응 방법
Apache Tomcat을 11.0.0-M21, 10.1.25 또는 9.0.90 이상의 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 취약한 버전 범위(예: 10.1.24 이하)에 포함되는지 확인하십시오.
java -jar tomcat-version-check.jar | grep -E 'Apache Tomcat (11.0.0-M[0-9]+|10.1.[0-9]{1,2}|9.0.[0-9]{1,2})'