🇰🇷 한글 설명
Apache Struts에서 발생하는 비대칭적 리소스 소비(증폭) 취약점입니다. 요청 파라미터가 java.math.BigDecimal 속성에 바인딩된 후 Struts 태그 라이브러리를 통해 렌더링될 때, 요청보다 훨씬 큰 응답을 생성하여 서버의 CPU와 네트워크 대역폭을 고갈시킬 수 있습니다.
💡 쉬운 설명
공격자가 아주 작은 데이터를 보내면 서버가 이를 처리하는 과정에서 엄청나게 큰 데이터를 만들어내게 만드는 공격입니다. 이로 인해 서버의 계산 능력과 인터넷 연결 통로가 마비될 수 있습니다.
🇺🇸 원문 (English)
Asymmetric resource consumption (amplification) vulnerability in Apache Struts. When a request parameter is bound to an arbitrary-precision decimal (java.math.BigDecimal) property that is then rendered through the Struts tag library, the framework can produce a response many orders of magnitude larger than the request, allowing an unauthenticated remote attacker to exhaust server CPU and outbound network capacity with sustained low-volume traffic. Applications that do not bind request parameters to BigDecimal properties, or never render such a property through the Struts tag library, are not affected.
This issue affects Apache Struts: from 2.5.14 through 2.5.33, from 6.0.0 through 6.11.0, from 7.0.0 through 7.3.0.
Users are recommended to upgrade to version 6.12.0 or 7.4.0, which fixes the issue.
📍 영향받는 시스템
Apache Struts 2.5.14~2.5.33, 6.0.0~6.11.0, 7.0.0~7.3.0
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 특정 파라미터를 조작하여 BigDecimal 속성에 바인딩된 요청을 전송
🛡️ 대응 방법
Apache Struts를 6.12.0 또는 7.4.0 이상의 버전으로 업그레이드
🔧 검증 코드
출력된 결과에서 현재 설치된 Struts의 버전이 취약한 범위(2.5.14-2.5.33, 6.0.0-6.11.0, 7.0.0-7.3.0)에 포함되는지 확인합니다.
grep -r "struts" /etc/ /usr/share/ 2>/dev/null | grep -E '2.5\.[0-9]+|6\.[0-9]+|7\.[0-9]+'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server