🇰🇷 한글 설명
Netty의 HTTP/2-to-HTTP/1.x 변환 계층에서 :authority 의사 헤더와 일반 host 헤더가 동시에 제공될 때 이를 검증하거나 중복을 제거하지 못하는 취약점이 발견되었습니다. 이로 인해 공격자가 서로 다른 값을 가진 두 개의 Host 헤더를 포함한 HttpRequest 객체를 생성할 수 있습니다. 해당 문제는 Netty 4.1.136.Final 및 4.2.16.Final 버전에서 수정되었습니다.
💡 쉬운 설명
웹 통신 규격을 변환하는 과정에서 이름표(Host)가 두 개가 생기는 오류가 발생합니다. 공격자가 이 두 이름표를 다르게 설정하여 서버를 혼란에 빠뜨릴 수 있습니다.
🇺🇸 원문 (English)
Netty is an asynchronous, event-driven network application framework. Prior to versions 4.1.136.Final and 4.2.16.Final, Netty's HTTP/2-to-HTTP/1.x translation layer (`Http2StreamFrameToHttpObjectCodec` and `InboundHttp2ToHttpAdapter`) fails to deduplicate or validate `Host` headers when an HTTP/2 client supplies both the `:authority` pseudo-header and a literal `host` header in a single HEADERS frame. The translator maps `:authority` to `Host` and separately copies the literal `host` header, producing an `HttpRequest` object containing two `Host` headers with attacker-controlled differing values. This issue has been fixed in versions 4.1.136.Final and 4.2.16.Final.
📍 영향받는 시스템
Netty versions prior to 4.1.136.Final and 4.2.16.Final
⚔️ 공격 벡터
HTTP/2 클라이언트가 :authority와 host 헤더를 동시에 포함한 HEADERS 프레임을 전송하여 중복된 Host 헤더를 생성함
🛡️ 대응 방법
Netty를 4.1.136.Final 또는 4.2.16.Final 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전의 Netty 라이브러리가 출력되면 업데이트가 필요한 상태입니다.
mvn dependency:list | grep -E 'netty-all|netty-buffer|netty-common' | grep -v '4.1.136.Final' | grep -v '4.2.16.Final'