CVE 데이터베이스CVE-2023-44487

최종 갱신 2026-08-11English Advisory →

CVE-2023-444877.5/HIGHCISA KEV 등재CWE-400

HTTP/2 프로토콜 신속 재설정(Rapid Reset) 분산 서비스 거부(DDoS) 취약점 (CVE-2023-44487)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

apache, nginx, microsoft, google, cloudflare, haproxy

대상 컴포넌트 / 패키지

httpd, nginx, iis, gclb, haproxy

권고문 발행일

2023-10-10

CVSS v3.1

7.5

HIGH

30일 악용확률

100.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

HTTP/2 프로토콜을 활성화하여 서비스를 제공하는 모든 웹 서버, 리버스 프록시, 로드 밸런서 및 CDN 아키텍처

파급 효과

공격자가 대규모의 HTTP/2 스트림을 생성한 즉시 RST_STREAM 프레임으로 취약한 서버에 취소 요청을 반복 전송함으로써, 서버의 CPU 및 메모리 자원을 고갈시켜 완전한 서비스 거부(DoS) 상태를 유발합니다

권장 조치

사용 중인 웹 서버(Nginx, Apache, IIS 등) 및 프록시 장비의 보안 패치를 즉시 적용하고, 패치 적용 전까지 HTTP/2 동시 스트림 제한 설정 및 속도 제한(Rate Limiting)을 강화하십시오

영향받는 제품 및 버전 범위

HTTP/2 프로토콜을 지원하는 모든 웹 서버(Apache HTTPD, Nginx, IIS), 리버스 프록시(HAProxy, Envoy), 로드 밸런서 및 클라우드 CDN 서비스

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

사용 중인 웹 서버 및 프록시 패키지를 최신 보안 패치가 적용된 버전으로 업그레이드하십시오.

bash

# Ubuntu/Debian 계열 Nginx 및 Apache 업그레이드
sudo apt-get update
sudo apt-get install --only-upgrade nginx apache2 -y

# RHEL/CentOS/Rocky Linux 계열 Nginx 및 Apache 업그레이드
sudo dnf clean all
sudo dnf makecache
sudo dnf upgrade nginx httpd -y

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, HTTP/2 프로토콜을 일시적으로 비활성화하거나 동시 연결 및 요청 속도를 제한하는 설정을 적용하십시오.

nginx

# Nginx 완화 설정 (nginx.conf)
# 1. HTTP/2 비활성화 (필요 시 http2 키워드 제거 후 reload)
# listen 443 ssl;

# 2. HTTP/2 관련 타임아웃 및 스트림 제한 강화
http {
    keepalive_requests 1000;
    http2_max_concurrent_streams 100;
    http2_recv_buffer_size 256k;
    
    # 단일 IP당 연결 및 요청 제한
    limit_conn_zone $binary_remote_addr zone=conn_limit_per_ip:10m;
    limit_req_zone $binary_remote_addr zone=req_limit_per_ip:10m rate=100r/s;
    
    server {
        limit_conn conn_limit_per_ip 20;
        limit_req zone=req_limit_per_ip burst=150 nodelay;
    }
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

웹 서버 로그에서 비정상적으로 높은 비율의 RST_STREAM 프레임이나 단일 IP에서의 과도한 연결 요청을 탐지하는 스크립트입니다.

bash

# Nginx/Apache 액세스 로그에서 특정 IP의 초당 요청 수 분석
cat /var/log/nginx/access.log | awk '{print $4}' | uniq -c | sort -rn | head -n 20

# 시스템 내 HTTP/2 활성화 여부 포트 스캔 및 프로토콜 검증
curl -I --http2 https://localhost/ 2>&1 | grep -i 'HTTP/2'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

HTTP/2를 사용하는 모든 외부 노출 자산에 대해 즉각적인 웹 서버 패치를 적용하고, WAF/CDN 단에서 HTTP/2 Rapid Reset 완화 규칙을 활성화하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2023-44487)은 HTTP/2 프로토콜 규격 자체의 설계 결함에서 비롯된 자원 소모형 서비스 거부(CWE-400) 취약점입니다. HTTP/2는 단일 TCP 연결 상에서 여러 개의 독립적인 양방향 스트림을 동시에 처리할 수 있는 멀티플렉싱(Multiplexing) 기능을 지원합니다. 클라이언트는 서버의 응답을 기다리지 않고 여러 요청을 보낼 수 있으며, 필요 시 'RST_STREAM' 프레임을 전송하여 활성화된 스트림을 즉시 취소할 수 있습니다. 그러나 프로토콜 명세상 클라이언트가 보낸 취소 요청을 서버가 수신하면 즉시 해당 스트림 처리를 중단해야 하지만, 이 과정에서 서버가 요청을 파싱하고 내부 상태를 정리하는 데 소모되는 자원이 클라이언트가 요청을 생성하고 취소하는 비용보다 훨씬 크다는 점이 근본적인 원인입니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 단일 TCP 연결을 통해 수많은 HTTP/2 요청(HEADERS 프레임)을 전송한 직후, 서버가 이에 대한 응답을 처리하기 전에 즉시 스트림 재설정(RST_STREAM 프레임)을 전송합니다. 이 행위를 극도로 빠른 속도로 반복하는 방식을 '신속 재설정(Rapid Reset)' 공격이라고 합니다. 일반적인 HTTP/2 구현체는 동시 활성 스트림 수(SETTINGS_MAX_CONCURRENT_STREAMS)를 제한하지만, 클라이언트가 스트림을 즉시 취소(RST_STREAM)하면 해당 스트림은 활성 상태에서 제외되므로 이 제한을 우회하게 됩니다. 결과적으로 공격자는 단일 커넥션 내에서 무제한에 가까운 요청을 서버에 누적시킬 수 있으며, 서버는 취소된 요청들을 정리하기 위해 루프를 돌며 CPU 자원을 100% 소모하게 되고 메모리 풀이 고갈되어 정상적인 서비스를 처리할 수 없게 됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 7.5(High) 등급으로 분류되었으나, 실제 인프라에 미치는 파괴력은 치명적입니다. 2023년 8월부터 10월 사이에 실제 야생(In-the-Wild)에서 대규모 봇넷을 동원한 초당 수억 건(RPS) 규모의 사상 최대 DDoS 공격에 악용된 바 있습니다. CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 있으며, EPSS 점수가 최고치인 1.0(100%)에 달해 공격 성공 가능성이 매우 높음을 입증합니다. 이 공격이 성공할 경우, 엔터프라이즈 웹 서비스, API 게이트웨이, CDN 에지 노드가 완전히 마비되어 비즈니스 연속성이 중단되고 심각한 금전적 손실 및 브랜드 신뢰도 하락을 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

The HTTP/2 protocol allows a denial of service (server resource consumption) because request cancellation can reset many streams quickly, as exploited in the wild in August through October 2023.

http://www.openwall.com/lists/oss-security/2023/10/10/6

출처: cve@mitre.org · Mailing List, Third Party Advisory

http://www.openwall.com/lists/oss-security/2023/10/10/7

출처: cve@mitre.org · Mailing List, Third Party Advisory

http://www.openwall.com/lists/oss-security/2023/10/13/4

출처: cve@mitre.org · Mailing List, Third Party Advisory

http://www.openwall.com/lists/oss-security/2023/10/13/9

출처: cve@mitre.org · Mailing List, Third Party Advisory

http://www.openwall.com/lists/oss-security/2023/10/18/4

출처: cve@mitre.org · Mailing List, Third Party Advisory

http://www.openwall.com/lists/oss-security/2023/10/18/8

출처: cve@mitre.org · Mailing List, Third Party Advisory

자주 묻는 실무 질문 (FAQ — CVE-2023-44487)

FAQ

Q1. CVE-2023-44487 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2023-44487의 기본 점수는 CVSS 7.5 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 100.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2023-44487에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 apache, nginx, microsoft, google, cloudflare, haproxy이며, 대상 컴포넌트는 httpd, nginx, iis, gclb, haproxy입니다. 상세 영향 범위: HTTP/2 프로토콜을 지원하는 모든 웹 서버(Apache HTTPD, Nginx, IIS), 리버스 프록시(HAProxy, Envoy), 로드 밸런서 및 클라우드 CDN 서비스

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 사용 중인 웹 서버(Nginx, Apache, IIS 등) 및 프록시 장비의 보안 패치를 즉시 적용하고, 패치 적용 전까지 HTTP/2 동시 스트림 제한 설정 및 속도 제한(Rate Limiting)을 강화하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동