CVE-2023-45802

요약

HTTP/2 스트림이 클라이언트에 의해 재설정(RST 프레임)되었을 때, 요청의 메모리 리소스가 즉시 회수되지 않는 시간 창이 있었습니다. 대신 할당 해제가 연결 종료 시점으로 지연되었습니다. 클라이언트는 새 요청과 재설정을 보내 연결을 계속 바쁘고 열린 상태로 유지할 수 있었고, 이로 인해 메모리 사용량이 계속 증가했습니다. 연결이 종료되면 모든 리소스가 회수되었지만, 그 전에 프로세스의 메모리가 고갈될 수 있었습니다. 이 문제는 보고자가 자체 테스트 클라이언트로 CVE-2023-44487(HTTP/2 Rapid Reset Exploit)을 테스트하는 과정에서 발견했습니다. "정상적인" HTTP/2 사용 중에는 이 버그가 발생할 확률이 매우 낮습니다. 유지된 메모리는 연결이 종료되거나 타임아웃되기 전까지는 눈에 띄지 않을 수 있습니다. 사용자는 이 문제를 해결한 버전 2.4.58로 업그레이드하는 것이 권장됩니다.

• CVE-2023-45802익스플로잇

  CVE-2023-45802 - Apache HTTP/2 메모리 고갈 DoS Apache 버전: 2.4.17 ~ 2.4.57 대상: Apache/2.4.52 (Ubuntu) - 취약함 MehranTurk (M.T) 경고: LAB 환경에서의 승인된 테스트 전용입니다!