🇰🇷 한글 설명
Brave 브리지에서 W3C baggage 전파를 사용하는 Micrometer Tracing 애플리케이션은 수신된 baggage 헤더를 추출할 때 제한 없는 객체 할당으로 인해 서비스 거부(DoS) 공격에 취약합니다. 이는 공격자가 악의적인 헤더를 통해 시스템 자원을 고갈시킬 수 있음을 의미합니다.
💡 쉬운 설명
애플리케이션이 들어오는 정보를 처리할 때 메모리 사용량에 제한을 두지 않아 발생하는 문제입니다. 공격자가 가짜 정보를 대량으로 보내면 서버의 메모리가 가득 차서 서비스가 멈출 수 있습니다.
🇺🇸 원문 (English)
An application using Micrometer Tracing with W3C baggage propagation in the Brave bridge is vulnerable to denial of service (DoS) due to unbounded object allocation when extracting incoming baggage headers.
Micrometer Tracing 1.7.0
Micrometer Tracing 1.6.0 - 1.6.6
Micrometer Tracing 1.5.0 - 1.5.12
Micrometer Tracing 1.4.13 and earlier
📍 영향받는 시스템
Micrometer Tracing 1.7.0, 1.6.0-1.6.6, 1.5.0-1.5.12, 1.4.13 및 이전 버전
⚔️ 공격 벡터
조작된 W3C baggage 헤더를 포함한 요청을 전송하여 서버의 메모리 자원을 고갈시킴
🛡️ 대응 방법
Micrometer Tracing을 취약점이 해결된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 micrometer-tracing의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
mvn dependency:list | grep 'micrometer-tracing'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
💻 영향받는 소프트웨어
IBM WebSphere Application Server