🇰🇷 한글 설명
Netty의 WebSocketServerExtensionHandler에서 연결당 큐 크기가 제한되지 않는 취약점이 발견되었습니다. 공격자가 HTTP/1.1 파이프라이닝을 통해 응답보다 빠르게 요청을 보내면 큐가 무한히 증가하여 JVM의 메모리 고갈(OutOfMemoryError)을 유발할 수 있습니다. 이 문제는 WebSocket 업그레이드 전 단계에서도 발생할 수 있어 인증 전 단계에서 서비스 거부 공격이 가능합니다.
💡 쉬운 설명
서버가 처리할 수 있는 양보다 훨씬 많은 요청을 한꺼번에 보내서 서버의 메모리를 가득 채우는 공격입니다. 이로 인해 서버가 메모리 부족으로 인해 갑자기 멈추거나 꺼질 수 있습니다.
🇺🇸 원문 (English)
Netty (io.netty:netty-codec-http) contains an unbounded per-connection queue in WebSocketServerExtensionHandler. The handler offers an entry to its per-channel validExtensions queue for every inbound HttpRequest, but polls an entry only when the application writes an HttpResponse, and the queue size is never bounded. A remote, unauthenticated peer can use HTTP/1.1 pipelining to send requests faster than the application produces responses — including plain non-upgrade HTTP requests to any path — causing the queue to grow without limit until the JVM exhausts heap memory and terminates with OutOfMemoryError. Because the affected handler is the base class of WebSocketServerCompressionHandler, any server that enables permessage-deflate is exposed on its plain HTTP port before any WebSocket upgrade completes and before any application-level authentication. Affected versions are 4.1.88.Final through 4.1.137.Final and 4.2.0.Final through 4.2.17.Final; the issue is fixed in 4.1.138.Final and 4.2.18.Final.
📍 영향받는 시스템
Netty 4.1.88.Final ~ 4.1.137.Final, 4.2.0.Final ~ 4.2.17.Final
⚔️ 공격 벡터
HTTP/1.1 파이프라이닝을 이용한 대량의 인바운드 HTTP 요청 전송
🛡️ 대응 방법
Netty 버전을 4.1.138.Final 또는 4.2.18.Final 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위의 netty-codec-http가 나타나면 해당 취약점에 노출된 상태입니다.
mvn dependency:list | grep -E 'netty-codec-http:[[:space:]]+(4\.[0-1]\.(8[8-9]|[9][0-9]|1[0-3][0-7])|4\.2\.[0-1][0-7])'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
💻 영향받는 소프트웨어
IBM WebSphere Application Server