cowlib HTTP/2 헤더 디코딩으로 서버 메모리 고갈 가능
Erlang 웹 서버 부품이 메모리를 바닥내 멈출 수 있습니다.
요약
cowlib이 디코딩된 HTTP/2 헤더 크기를 제한하지 않아, 인증하지 않은 원격 상대가 약 100바이트만 보내도 서버가 많은 메모리를 할당하게 만들 수 있습니다. cowlib 2.7.0 이상 2.22.0 미만이 해당하며, 이를 쓰는 Cowboy 같은 웹 서버가 영향을 받습니다.
해당 조건
- cowlib 2.7.0 이상 2.22.0 미만
- HTTP/2를 켠 서버 (예: Cowboy 리스너)
대처법
cowlib 2.22.0 이상으로 업데이트하세요. 당장 못 하면 HTTP/2를 쓰지 않는 Cowboy 서버는 protocols => [http]로 설정하세요. max_headers를 낮추면 피해가 줄지만 완전히 막히지는 않습니다.
당장 못 하면:
설정 파일에 이 줄을 넣으세요:
protocols => [http]
설정을 잘못 바꾸면 서비스가 멈추거나 접속이 막힐 수 있어요. 바꾸기 전에 아래 원문 링크를 확인하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- 분석 글: cna.erlef.org (새 탭에서 열림)
시각
처음 게시
처음 확인