🇰🇷 한글 설명
애플리케이션이 DelegatingDeserializer를 사용하는 경우, 공격자가 고유한 랜덤 spring.kafka.serialization.selector 헤더 값을 가진 레코드를 전송하여 소비자의 힙 메모리를 무제한으로 증가시킬 수 있습니다. 이로 인해 가비지 컬렉션(GC) 부하가 급증하고 최종적으로 OutOfMemoryError가 발생하여 서비스가 중단될 수 있습니다.
💡 쉬운 설명
공격자가 특수한 데이터를 계속 보내서 서버의 메모리를 가득 채워 시스템을 멈추게 만드는 공격입니다. 마치 서버의 저장 공간을 가짜 데이터로 꽉 채워 서버가 아무 일도 못 하게 만드는 것과 같습니다.
🇺🇸 원문 (English)
When an application opts into DelegatingDeserializer, a producer can grow the consumer's heap without bound by sending records with unique random spring.kafka.serialization.selector header values, eventually causing GC thrash and OutOfMemoryError.
Affected versions:
Spring for Apache Kafka 4.0.0 through 4.0.5; 3.3.0 through 3.3.15; 3.2.0 through 3.2.13; 2.9.0 through 2.9.13; 2.8.0 through 2.8.11.
📍 영향받는 시스템
Spring for Apache Kafka 4.0.0-4.0.5, 3.3.0-3.3.15, 3.2.0-3.2.13, 2.9.0-2.9.13, 2.8.0-2.8.11
⚔️ 공격 벡터
고유한 랜덤 헤더 값을 포함한 Kafka 레코드를 전송하여 메모리 고갈 유도
🛡️ 대응 방법
Spring for Apache Kafka를 취약점이 해결된 최신 패치 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위의 spring-kafka 라이브러리가 나타나면 해당 시스템은 취약합니다.
mvn dependency:tree | grep -E 'spring-kafka:[[:space:]]+(4\.0\.[0-5]|3\.3\.[0-15]|3\.2\.[0-13]|2\.9\.[0-13]|2\.8\.[0-11])'