🇰🇷 한글 설명
Micronaut Framework 4.10.22 이전 버전에서는 bundleCache가 HTTP Accept-Language 헤더에서 온 Locale과 baseName을 키로 사용하며 크기 제한이 없습니다. ResourceBundleMessageSource 빈을 명시적으로 등록하고 HTML 오류 응답을 제공하는 애플리케이션에서, 인증되지 않은 공격자가 다양한 Accept-Language 값을 보내 힙 메모리를 고갈시킬 수 있습니다. 이 취약점은 4.10.22 버전에서 수정되었습니다.
💡 쉬운 설명
웹 요청에 서로 다른 언어 설정을 대량으로 보내면 서버가 그 언어 정보를 계속 메모리에 저장하게 됩니다. 결국 서버 메모리가 가득 차서 서비스가 느려지거나 멈출 수 있습니다.
🇺🇸 원문 (English)
Micronaut Framework is a JVM-based full stack Java framework designed for building modular, easily testable JVM applications. Prior to 4.10.22, the bundleCache is keyed by (Locale, baseName) where the locale originates from the HTTP Accept-Language header. In applications that explicitly register a ResourceBundleMessageSource bean and serve HTML error responses, an unauthenticated attacker can exhaust heap memory by sending requests with large numbers of unique Accept-Language values, each causing a new entry in the unbounded bundleCache. This vulnerability is fixed in 4.10.22.
📍 영향받는 시스템
Micronaut Framework 4.10.22 미만 버전을 사용하며 ResourceBundleMessageSource를 등록하고 HTML 오류 응답을 제공하는 애플리케이션
⚔️ 공격 벡터
인증 없이 서로 다른 Accept-Language 헤더 값을 대량으로 포함한 HTTP 요청을 반복 전송하여 bundleCache를 무제한 증가시킴
🛡️ 대응 방법
Micronaut Framework를 4.10.22 이상 버전으로 업그레이드
🔧 검증 코드
출력된 Implementation-Version이 4.10.22 미만이면 취약하며, 4.10.22 이상이거나 결과가 없으면 해당 jar가 없거나 패치된 상태입니다.
find / -name 'micronaut-core*.jar' 2>/dev/null | xargs -I{} unzip -p {} META-INF/MANIFEST.MF 2>/dev/null | grep -i 'Implementation-Version'