🇰🇷 한글 설명
Netty HTTP/2 프레임워크에서 max header size 처리 방식의 결함으로 인해 HTTP/2 Rapid Reset 공격과 유사한 취약점이 존재합니다. 공격자가 SETTINGS_MAX_HEADER_LIST_SIZE 설정을 악용할 경우, 서버가 요청을 처리하고 응답을 생성하는 과정에서 예외를 발생시켜 리소스를 소모하게 만듭니다.
💡 쉬운 설명
해커가 특수한 설정을 담은 요청을 보내 서버가 응답을 만들다가 오류를 일으키게 만드는 공격입니다. 이 과정에서 서버의 자원이 낭비되어 서비스가 느려지거나 중단될 수 있습니다.
🇺🇸 원문 (English)
Netty is a network application framework for development of protocol servers and clients. Prior to versions 4.1.135.Final and 4.2.15.Final, Netty HTTP/2 max header size handling produces an attack similar to HTTP/2 Rapid Reset. There is a setting in the http2 specification called `SETTINGS_MAX_HEADER_LIST_SIZE`. When a client sends that setting to Netty, it appears that Netty will behave as follows: read the request; proxy the request to the origin; attempt to produce a response; and create an exception while writing the headers for the response. Functionally, this should be similar to the http2 reset attack, but with a different on-the-wire signature. Versions 4.1.135.Final and 4.2.15.Final patch the issue.
📍 영향받는 시스템
Netty versions prior to 4.1.135.Final and 4.2.15.Final
⚔️ 공격 벡터
HTTP/2 SETTINGS_MAX_HEADER_LIST_SIZE 설정을 이용한 비정상적인 헤더 크기 요청
🛡️ 대응 방법
Netty를 4.1.135.Final 또는 4.2.15.Final 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 패치된 버전(4.1.135.Final 이상 또는 4.2.15.Final 이상)이 아닌 Netty 라이브러리가 나타나면 취약한 상태입니다.
mvn dependency:list | grep -E 'netty-all|netty-handler' | grep -vE '4.1.135.Final|4.2.15.Final'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
💻 영향받는 소프트웨어
IBM WebSphere Application Server