🇰🇷 한글 설명
Netty 프레임워크의 HTTP/2 콘텐츠 압축 해제 기능 사용 시, 이미 닫힌 스트림의 DATA 프레임을 처리할 때 메모리 누수가 발생합니다. 이로 인해 직접 메모리(Direct Memory)가 고갈되어 JVM이 충돌할 수 있습니다.
💡 쉬운 설명
해커가 특수한 데이터를 보내면 프로그램이 사용한 메모리를 제대로 돌려주지 않고 계속 쌓아두게 됩니다. 결국 컴퓨터의 메모리가 꽉 차서 프로그램이 갑자기 꺼지게 됩니다.
🇺🇸 원문 (English)
Netty is a network application framework for development of protocol servers and clients. In versions 4.2.0.Final through 4.2.15.Final and 4.1.0.Final through 4.1.135.Final, a remote unauthenticated peer can leak one direct `ByteBuf` per HTTP/2 `DATA` frame in applications that enable HTTP/2 content decompression via `DelegatingDecompressorFrameListener`. When a `DATA` frame is processed for a stream whose decompressor has already been closed, `Http2Decompressor.decompress(...)` calls `decompressor.writeInbound(data.retain())` and does not release the retained buffer on the error path, eventually exhausting direct memory and crashing the JVM. This issue is fixed in versions 4.1.136.Final and 4.2.16.Final.
📍 영향받는 시스템
Netty 4.1.0.Final ~ 4.1.135.Final 및 4.2.0.Final ~ 4.2.15.Final
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 조작된 HTTP/2 DATA 프레임을 전송하여 메모리 고갈 유도
🛡️ 대응 방법
Netty 버전을 4.1.136.Final 또는 4.2.16.Final 이상으로 업데이트
🔧 검증 코드
출력된 Netty 라이브러리의 버전이 취약한 범위(4.1.135 이하 또는 4.2.15 이하)에 있는지 확인
mvn dependency:list | grep -E 'netty-all|netty-buffer|netty-codec-http2'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server