🇰🇷 한글 설명
Netty HTTP/2 서버에서 CONTINUATION 프레임을 대량으로 전송하여 서비스 거부(DoS)를 유발할 수 있는 취약점입니다. 0바이트 프레임을 사용하여 기존의 크기 기반 방어 기법을 우회함으로써, 최소한의 대역폭으로 서버의 CPU 자원을 과도하게 소모시켜 서버를 응답 불능 상태로 만듭니다.
💡 쉬운 설명
해커가 아주 작은 크기의 가짜 데이터를 끊임없이 보내 서버의 두뇌(CPU)를 과부하 상태로 만드는 공격입니다. 이로 인해 서버가 정상적인 요청을 처리하지 못하고 멈춰버릴 수 있습니다.
🇺🇸 원문 (English)
Netty is an asynchronous, event-driven network application framework. In versions prior to 4.1.132.Final and 4.2.10.Final, a remote user can trigger a Denial of Service (DoS) against a Netty HTTP/2 server by sending a flood of `CONTINUATION` frames. The server's lack of a limit on the number of `CONTINUATION` frames, combined with a bypass of existing size-based mitigations using zero-byte frames, allows an user to cause excessive CPU consumption with minimal bandwidth, rendering the server unresponsive. Versions 4.1.132.Final and 4.2.10.Final fix the issue.
📍 영향받는 시스템
Netty 4.1.132.Final 및 4.2.10.Final 미만 버전
⚔️ 공격 벡터
HTTP/2 프로토콜의 CONTINUATION 프레임을 이용한 대량 전송 공격
🛡️ 대응 방법
Netty 버전을 4.1.132.Final 또는 4.2.10.Final 이상으로 업데이트
🔧 검증 코드
명령어 결과에 취약한 버전의 Netty 라이브러리가 출력되면 패치가 필요한 상태입니다.
mvn dependency:list | grep -E 'netty-all|netty-handler' | grep -v '4.1.132.Final\|4.2.10.Final'