무엇이 문제인가
HTTP/2 프로토콜은 요청 취소 시 많은 스트림이 빠르게 재설정될 때 과도한 서버 리소스 소비를 허용합니다. 공격자는 이 취약점을 악용하여 서비스 거부(DoS)를 유발할 수 있습니다.
누가 영향을 받나
이 문제는 1.9.5부터 1.25.2까지의 nginx 버전에 영향을 미칩니다.
무엇을 해야 하나
벤더 지침에 따라 완화 조치를 적용하거나 해당 클라우드 가이드를 따르십시오. 완화 조치를 적용할 수 없는 경우 제품 사용을 중단하십시오.
원문 설명
The HTTP/2 protocol allows a denial of service (server resource consumption) because request cancellation can reset many streams quickly, as exploited in the wild in August through October 2023.
실제 악용 확인(CISA KEV)
- KEV 등재일
- 2023-10-10
- 조치 기한(미 연방기관)
- 2023-10-31
- 랜섬웨어 사용
- Unknown
- 요구 조치
- Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
영향받는 소프트웨어
상세
- 공개일
- 2023-10-10
- 최종 수정
- 2026-08-11
- CVSS 벡터
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- CWE
- CWE-400
- EPSS(30일 내 악용 확률)
- 100.00% (백분위 100)
참고 자료
- cve.org/CVE-2023-44487
- nvd.nist.gov/vuln/detail/CVE-2023-44487
- www.openwall.com/lists/oss-security/2023/10/10/6
- www.openwall.com/lists/oss-security/2023/10/10/7
- www.openwall.com/lists/oss-security/2023/10/13/4
- www.openwall.com/lists/oss-security/2023/10/13/9
- www.openwall.com/lists/oss-security/2023/10/18/4
- www.openwall.com/lists/oss-security/2023/10/18/8
- www.openwall.com/lists/oss-security/2023/10/19/6
- www.openwall.com/lists/oss-security/2023/10/20/8
- access.redhat.com/security/cve/cve-2023-44487
- arstechnica.com/security/2023/10/how-ddosers-used-the-http-2-protocol-to-deliver-attacks-o...
- aws.amazon.com/security/security-bulletins/AWS-2023-011/
- blog.cloudflare.com/technical-breakdown-http2-rapid-reset-ddos-attack/
내 서버의 버전을 직접 추적하세요
InfraGuard 는 모든 서버에 설치된 소프트웨어 버전을 수집하고, 알려진 취약점이 있는 버전을 알려 줍니다. 자체 호스팅이라 데이터가 내 네트워크를 벗어나지 않습니다.
이 제품은 NVD API 데이터를 사용하지만 NVD 의 보증이나 인증을 받은 것은 아닙니다. CVE® 는 The MITRE Corporation 의 등록 상표이며, CVE 레코드는 CVE Program 이용 약관에 따라 사용합니다.