🇰🇷 한글 설명
Netty의 HTTP/3 코덱에서 기본 설정된 최대 헤더 크기 제한이 없어, 악의적인 피어가 무제한의 헤더를 전송할 수 있습니다. 이로 인해 서버나 클라이언트의 메모리가 고갈되어 서비스 거부(DoS) 공격이 가능합니다.
💡 쉬운 설명
네트워크 프로그램인 Netty가 헤더 크기를 제한하지 않아, 해커가 거대한 데이터를 보내 시스템을 마비시킬 수 있습니다. 이를 방지하려면 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
Netty is a network application framework for development of protocol servers and clients. Prior to version 4.2.15.Final, the default configuration of the `Http3ConnectionHandler` in the Netty HTTP/3 codec lacks an enforced maximum header size limit. When a peer does not explicitly specify `HTTP3_SETTINGS_MAX_FIELD_SECTION_SIZE`, the implementation defaults to an unbounded limit. This insecure default configuration allows a malicious client or server to send an enormous number of headers, leading to a memory exhaustion Denial of Service via an `OutOfMemoryError`. Version 4.2.15.Final contains a patch.
📍 영향받는 시스템
Netty HTTP/3 Codec version < 4.2.15.Final
⚔️ 공격 벡터
악의적인 클라이언트 또는 서버가 제한 없는 헤더를 대량 전송하여 메모리 고갈 유도
🛡️ 대응 방법
Netty를 버전 4.2.15.Final 이상으로 업그레이드하여 패치 적용
🔧 검증 코드
출력된 netty-codec-http3 의존성 버전이 4.2.15.Final 미만인 경우 취약한 것으로 판단
mvn dependency:tree | grep netty-codec-http3