🇰🇷 한글 설명
Netty 프레임워크의 SPDY 헤더 디코딩 과정에서 zlib 압축된 헤더 블록이 maxHeaderSize를 초과한 후에도 계속 팽창하는 취약점이 발견되었습니다. 공격자가 작은 압축 헤더를 보내면 매우 큰 데이터로 확장되어 CPU 사용량 급증 및 메모리 할당 과부하를 유발할 수 있습니다.
💡 쉬운 설명
작은 크기의 압축 파일을 보냈을 때 컴퓨터가 이를 처리하느라 엄청나게 큰 데이터로 부풀려 처리하면서 시스템이 느려지거나 멈추게 만드는 공격입니다. 이를 통해 서버의 자원을 고갈시켜 서비스를 방해할 수 있습니다.
🇺🇸 원문 (English)
Netty is a network application framework for development of protocol servers and clients. Prior to 4.1.136.Final and 4.2.16.Final, Netty SPDY header decoding continues inflating zlib-compressed header blocks after the raw header parser has exceeded `maxHeaderSize` and marked the frame truncated in `SpdyFrameCodec`, allowing a remote peer to send a small compressed `HEADERS` block that expands into much larger raw header data and causes compression-amplified CPU and allocation churn. This issue is fixed in versions 4.1.136.Final and 4.2.16.Final.
📍 영향받는 시스템
Netty 4.1.136.Final 및 4.2.16.Final 미만 버전
⚔️ 공격 벡터
원격의 공격자가 조작된 작은 크기의 SPDY HEADERS 압축 블록을 전송하여 자원 고갈 유도
🛡️ 대응 방법
Netty를 4.1.136.Final 또는 4.2.16.Final 이상의 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 Netty 관련 라이브러리의 버전이 4.1.136.Final 또는 4.2.16.Final보다 낮은지 확인
mvn dependency:list | grep -E 'netty-all|netty-buffer|netty-common'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server