🇰🇷 한글 설명
Apache Traffic Server가 HTTP/2 또는 HTTP/3 응답의 디청킹(dechunking) 과정에서 스트림당 버퍼 제한을 해제하는 취약점이 발견되었습니다. 이로 인해 느린 클라이언트가 서버의 메모리를 고갈시킬 수 있습니다.
💡 쉬운 설명
서버가 데이터를 처리할 때 메모리 사용량에 제한을 두어야 하는데, 이 제한이 풀리는 문제가 발생했습니다. 이를 악용하면 공격자가 아주 느린 속도로 데이터를 요청하여 서버의 메모리를 가득 채워 서버를 마비시킬 수 있습니다.
🇺🇸 원문 (English)
Apache Traffic Server drops the per-stream buffer cap when dechunking HTTP/2 or HTTP/3 responses, letting a slow client exhaust server memory.
This issue affects Apache Traffic Server: from 8.0.0 through 8.1.11, from 9.0.0 through 9.2.14, from 10.0.0 through 10.1.3.
Users are recommended to upgrade to version 9.2.15 or 10.1.4, which fix the issue.
📍 영향받는 시스템
Apache Traffic Server 8.0.0-8.1.11, 9.0.0-9.2.14, 10.0.0-10.1.3
⚔️ 공격 벡터
HTTP/2 또는 HTTP/3 프로토콜을 사용하는 느린 클라이언트가 디청킹 과정을 악용하여 메모리 고갈 유도
🛡️ 대응 방법
Apache Traffic Server를 버전 9.2.15 또는 10.1.4 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 정보가 취약한 버전 범위(8.0.0~8.1.11, 9.0.0~9.2.14, 10.0.0~10.1.3)에 포함되는지 확인하십시오.
apache2-traffic-server --version 2>/dev/null || httpd -v 2>/dev/null | grep -i 'Apache Traffic Server'