🇰🇷 한글 설명
Apache Tomcat의 부적절한 입력 검증 취약점으로 인해 잘못된 HTTP priority 헤더 처리 시 메모리 누수가 발생합니다. 대량의 잘못된 요청을 보내면 OutOfMemoryException이 발생하여 서비스 거부(DoS) 상태에 빠질 수 있습니다.
💡 쉬운 설명
잘못된 형식의 요청을 반복해서 보내면 서버의 메모리가 계속 쌓여 결국 서버가 멈추게 되는 문제입니다. 공격자가 의도적으로 서버를 다운시켜 서비스를 중단시킬 수 있습니다.
🇺🇸 원문 (English)
Improper Input Validation vulnerability in Apache Tomcat. Incorrect error handling for some invalid HTTP priority headers resulted in incomplete clean-up of the failed request which created a memory leak. A large number of such requests could trigger an OutOfMemoryException resulting in a denial of service.
This issue affects Apache Tomcat: from 9.0.76 through 9.0.102, from 10.1.10 through 10.1.39, from 11.0.0-M2 through 11.0.5.
The following versions were EOL at the time the CVE was created but are
known to be affected: 8.5.90 though 8.5.100.
Users are recommended to upgrade to version 9.0.104, 10.1.40 or 11.0.6 which fix the issue.
📍 영향받는 시스템
Apache Tomcat 8.5.90-8.5.100, 9.0.76-9.0.102, 10.1.10-10.1.39, 11.0.0-M2-11.0.5
⚔️ 공격 벡터
조작된 HTTP priority 헤더를 포함한 대량의 요청을 전송하여 메모리 고갈 유도
🛡️ 대응 방법
Apache Tomcat을 9.0.104, 10.1.40 또는 11.0.6 이상의 버전으로 업그레이드
🔧 검증 코드
명령어 실행 결과에 취약한 버전 범위가 출력되면 해당 버전이 설치되어 있는 상태입니다.
java -cp /path/to/tomcat/lib/catalina.jar org.apache.catalina.util.ServerInfo | grep -E '9.0.(76|77|78|79|80|81|82|83|84|85|86|87|88|89|90|91|92|93|94|95|96|97|98|99|100|101|102)|10.1.(10|11|12|13|14|15|16|17|18|19|20|21|22|23|24|25|26|27|28|29|30|31|32|33|34|35|36|37|38|39)|11.0.(0|1|2|3|4|5)'