🇰🇷 한글 설명
Apache HTTP Server 2.0.44에서 DNS 역조회 로깅 기능 사용 시, 로그 형식이 IP 주소의 해석 여부를 구분하지 못하는 취약점입니다. 공격자가 위조된 DNS 응답으로 숫자 형태의 도메인명(예: 123.123.123.123)을 제공하면, 서버가 이를 실제 호스트명으로 기록하여 로그 기록이 손상됩니다. 이를 통해 공격자는 자신의 IP 주소 추적을 회피하거나 다른 IP로 로그를 위조할 수 있습니다.
💡 쉬운 설명
웹 서버가 클라이언트의 도메인명을 조회할 때 공격자의 거짓 정보를 믿고 로그에 잘못된 IP를 기록할 수 있습니다. 이로 인해 서버 로그의 신뢰성이 손상되어 보안 감시 및 사건 조사가 어려워집니다.
🇺🇸 원문 (English)
The Apache HTTP Server 2.0.44, when DNS resolution is enabled for client IP addresses, uses a logging format that does not identify whether a dotted quad represents an unresolved IP address, which allows remote attackers to spoof IP addresses via crafted DNS responses containing numerical top-level domains, as demonstrated by a forged 123.123.123.123 domain name, related to an "Inverse Lookup Log Corruption (ILLC)" issue.
📍 영향받는 시스템
Apache HTTP Server 2.0.44 (HostnameLookups 활성화된 경우)
⚔️ 공격 벡터
위조된 DNS 응답을 반환하여 숫자 형태의 도메인명을 IP 주소로 기록하도록 유도
🛡️ 대응 방법
Apache 2.0.45 이상으로 업그레이드하거나 httpd.conf에서 HostnameLookups를 Off로 설정
🔧 검증 코드
Apache 버전이 2.0.45 이상이거나 HostnameLookups가 Off로 설정되어 있으면 취약점이 완화된 상태입니다.
httpd -v 2>/dev/null | grep -oP 'Apache/\K[0-9.]+' || grep -i 'HostnameLookups' /etc/apache2/apache2.conf