cowboy HTTP/1.1 파이프라인 데이터 무제한 버퍼링으로 메모리 고갈
웹 서버 부품인데, 몇 개 연결로 서버를 멈추게 할 수 있습니다.
요약
요청 처리 중에 연결로 계속 보내진 데이터를 cowboy가 제한 없이 메모리에 쌓아 둡니다. 인증하지 않은 원격 공격자가 몇 개의 연결만으로 서버 메모리를 고갈시킬 수 있으며, 2.18.0 이상 2.21.0 미만 버전이 해당합니다.
해당 조건
- HTTP/1.1 연결을 받는 서버
- 요청 처리를 오래 붙잡는 핸들러(롱 폴링, 스트리밍 응답, 느린 백엔드 호출)
대처법
cowboy 2.21.0 이상으로 업데이트하세요. 2.18.0 이상 2.21.0 미만 버전이 해당합니다.
대상 제품과 운영체제
CVE 번호
원문 링크
- 분석 글: cna.erlef.org (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인