🇰🇷 한글 설명
Apache HTTP Server의 mod_status 모듈에서 ExtendedStatus가 활성화되고 공개 server-status 페이지가 사용될 때 발생하는 XSS 취약점입니다. 공격자는 content-type 헤더가 명시되지 않은 요청을 통해 문자 집합 감지 메커니즘을 악용하여 임의의 웹 스크립트나 HTML을 주입할 수 있습니다. 방문자의 브라우저에서 악의적인 코드가 실행될 수 있습니다.
💡 쉬운 설명
Apache 웹 서버의 상태 페이지에서 공격자가 악의적인 코드를 숨겨넣을 수 있는 결함입니다. 특정 조건에서 이 코드가 방문자의 브라우저에서 자동으로 실행되어 개인정보를 탈취하거나 계정을 해킹할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in mod_status.c in the mod_status module in Apache HTTP Server (httpd), when ExtendedStatus is enabled and a public server-status page is used, allows remote attackers to inject arbitrary web script or HTML via unspecified vectors involving charsets with browsers that perform "charset detection" when the content-type is not specified.
📍 영향받는 시스템
Apache HTTP Server (httpd) 2.0.x, 1.3.x with mod_status module enabled (2006년 이전 버전)
⚔️ 공격 벡터
server-status 페이지에 특수하게 조작된 요청을 전송하여 content-type 누락을 악용한 XSS 페이로드 주입
🛡️ 대응 방법
Apache HTTP Server를 2006년 이후의 패치된 버전으로 업그레이드하거나 ExtendedStatus 비활성화, server-status 페이지 접근 제한
🔧 검증 코드
출력된 Apache 버전이 2.0.59 이상 또는 1.3.37 이상인지 확인하고, httpd.conf에서 ExtendedStatus Off 또는 server-status 접근 제한 설정 여부를 확인
httpd -v 2>/dev/null || apache2 -v 2>/dev/null || dpkg -l 2>/dev/null | grep -i 'apache\|httpd'