🇰🇷 한글 설명
Netty의 HTTP/2 구현에서 최대 동시 스트림 수 제한이 기본값으로 설정되지 않아, 공격자가 무제한 스트림을 생성할 수 있습니다. 이로 인해 서버의 메모리 고갈 및 CVE-2026-44487와 유사한 급속 리셋 증폭 공격에 취약해집니다.
💡 쉬운 설명
서버가 한 번에 처리할 수 있는 연결 수를 제한하지 않아, 해커가 너무 많은 연결을 만들어 서버를 마비시킬 수 있습니다. 이를 방지하려면 최신 버전으로 업데이트하여 제한 기능을 활성화해야 합니다.
🇺🇸 원문 (English)
Netty is a network application framework for development of protocol servers and clients. Prior to versions 4.1.135.Final and 4.2.15.Final, DefaultHttp2Connection.DefaultEndpoint initialises maxActiveStreams/maxStreams to Integer.MAX_VALUE, and Http2Settings never inserts SETTINGS_MAX_CONCURRENT_STREAMS by default (Http2Settings.java:305-307 only clamps a user-supplied value). Unless the application explicitly calls initialSettings().maxConcurrentStreams(n), a Netty HTTP/2 server advertises no limit and enforces none locally. Each open stream allocates a DefaultStream object, PropertyMap slots, flow-controller state and IntObjectHashMap entry; with ~2^30 permissible odd stream IDs a single TCP connection can create hundreds of thousands of long-lived stream objects. This is also the precondition for CVE-2023-44487-style Rapid-Reset amplification, where the absence of a low concurrent cap multiplies backend work. Versions 4.1.135.Final and 4.2.15.Final patch the issue.
📍 영향받는 시스템
Netty 4.1.135.Final 미만, 4.2.15.Final 미만
⚔️ 공격 벡터
HTTP/2 프로토콜을 이용해 단일 TCP 연결에서 무제한의 스트림을 생성하여 서버 자원을 고갈시킴
🛡️ 대응 방법
Netty를 4.1.135.Final 또는 4.2.15.Final 이상으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 4.1.135.Final 또는 4.2.15.Final보다 낮은지 확인하여 취약한지 판별
java -cp netty-all-*.jar io.netty.util.internal.VersionInfo 2>/dev/null | grep -E 'netty-all' || mvn dependency:tree | grep netty-all
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
💻 영향받는 소프트웨어
IBM WebSphere Application Server