🇰🇷 한글 설명
Apache Tomcat에서 HTTP/2 클라이언트가 최대 동시 스트림 수를 제한하는 초기 설정 프레임을 확인하지 않을 경우 발생하는 제어되지 않은 리소스 소비 취약점입니다. 이로 인해 서버의 자원이 과도하게 사용될 수 있습니다.
💡 쉬운 설명
서버가 한 번에 처리할 수 있는 작업 수를 줄이려고 요청을 보냈는데, 클라이언트가 이를 무시하고 계속해서 많은 요청을 보내 서버를 지치게 만드는 문제입니다. 이로 인해 서버가 느려지거나 멈출 수 있습니다.
🇺🇸 원문 (English)
Uncontrolled Resource Consumption vulnerability in Apache Tomcat if an HTTP/2 client did not acknowledge the initial settings frame that reduces the maximum permitted concurrent streams.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.8, from 10.1.0-M1 through 10.1.42, from 9.0.0.M1 through 9.0.106.
The following versions were EOL at the time the CVE was created but are
known to be affected: 8.5.0 through 8.5.100. Other EOL versions may also be affected.
Users are recommended to upgrade to version 11.0.9, 10.1.43 or 9.0.107, which fix the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~11.0.8, 10.1.0-M1~10.1.42, 9.0.0.M1~9.0.106, 8.5.0~8.5.100
⚔️ 공격 벡터
HTTP/2 프로토콜의 설정 프레임(Settings Frame) 응답을 무시하는 악의적인 클라이언트의 대량 스트림 요청
🛡️ 대응 방법
Apache Tomcat을 11.0.9, 10.1.43 또는 9.0.107 이상의 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 catalina.jar 또는 Tomcat 관련 버전 정보가 취약한 버전 범위에 포함되는지 확인하십시오.
java -jar tomcat-version-check.jar || find / -name "catalina.jar" -exec grep -H "version" {} \;