🇰🇷 한글 설명
Netty의 RedisArrayAggregator 구성 요소에서 결함이 발견되었습니다. 공격자가 특수하게 조작된 중첩 Redis(RESP) 배열 헤더를 전송하면, RedisArrayAggregator가 과도한 힙 메모리를 미리 할당하여 메모리 고갈을 일으킬 수 있습니다. 이로 인해 신뢰할 수 없는 트래픽을 처리하는 애플리케이션에서 서비스 거부(DoS) 상태가 발생할 수 있습니다.
💡 쉬운 설명
해커가 가짜 데이터를 보내 컴퓨터의 메모리를 한꺼번에 엄청나게 많이 사용하도록 만드는 공격입니다. 이로 인해 프로그램이 사용할 메모리가 부족해져 서비스가 멈출 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in Netty's `RedisArrayAggregator` component. A remote attacker can exploit this vulnerability by sending specially crafted nested Redis (RESP) array headers. This can cause the `RedisArrayAggregator` to eagerly preallocate a large amount of heap memory, leading to heap memory exhaustion and a Denial of Service (DoS) for applications using `RedisDecoder` with `RedisArrayAggregator` on untrusted traffic.
📍 영향받는 시스템
Netty 라이브러리의 RedisDecoder 및 RedisArrayAggregator를 사용하는 애플리케이션
⚔️ 공격 벡터
조작된 중첩 Redis(RESP) 배열 헤더를 포함한 네트워크 패킷 전송
🛡️ 대응 방법
Netty 라이브러리를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 사용 중인 Netty 라이브러리의 버전을 확인하여 취약한 버전인지 체크합니다.
mvn dependency:list | grep netty