🇰🇷 한글 설명
Netty의 Redis 코덱 모듈에서 깊게 중첩된 배열을 포함하는 악성 페이로드를 처리할 때 메모리 고갈을 유발하는 취약점이 존재합니다. 이 취약점은 서버가 과도한 상태 객체를 할당하게 하여 OutOfMemoryError를 발생시키고 서비스 거부(DoS)를 초래합니다. 4.1.135.Final 및 4.2.15.Final 버전에서 이 문제가 해결되었습니다.
💡 쉬운 설명
공격자가 Redis 데이터에 지나치게 복잡한 구조를 숨겨 서버의 메모리를 모두 차지하게 만드는 공격입니다. 이로 인해 서버가 멈추거나 충돌하여 정상적인 서비스 제공이 불가능해집니다.
🇺🇸 원문 (English)
Netty is a network application framework for development of protocol servers and clients. In netty-codec-redis prior to versions 4.1.135.Final and 4.2.15.Final, an attacker can cause DoS by sending a crafted Redis payload with deeply nested arrays. This forces the server to allocate a massive number of state objects and collections, leading to memory exhaustion and an OutOfMemoryError. Versions 4.1.135.Final and 4.2.15.Final patch the issue.
📍 영향받는 시스템
Netty netty-codec-redis 4.1.135.Final 미만 및 4.2.15.Final 미만 버전
⚔️ 공격 벡터
네트워크를 통해 악의적으로 설계된 Redis 프로토콜 페이로드 전송
🛡️ 대응 방법
Netty netty-codec-redis 라이브러리를 4.1.135.Final 또는 4.2.15.Final 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 4.1.135.Final 또는 4.2.15.Final보다 낮은 경우 취약한 것으로 판단
mvn dependency:tree -Dincludes=io.netty:netty-codec-redis 2>/dev/null | grep -E 'io.netty:netty-codec-redis'