🇰🇷 한글 설명
Sergey Lyubka Simple HTTPD(shttpd) 1.3이 Windows에서 MS-DOS 장치 이름(예: /aux)을 포함하는 HTTP 요청으로 인해 서비스 거부 취약점이 발생합니다. 원격 공격자가 특수한 경로를 요청하여 웹 서버를 강제로 중단시킬 수 있습니다.
💡 쉬운 설명
Windows의 예약된 장치 이름(AUX, CON 등)을 웹 주소에 포함시켜 간단한 웹 서버를 다운시킬 수 있는 버그입니다. 인터넷에 연결된 누구나 이 공격을 수행하여 서버를 멈출 수 있습니다.
🇺🇸 원문 (English)
Sergey Lyubka Simple HTTPD (shttpd) 1.3 on Windows allows remote attackers to cause a denial of service via a request that includes an MS-DOS device name, as demonstrated by the /aux URI.
📍 영향받는 시스템
Sergey Lyubka Simple HTTPD (shttpd) 1.3 및 그 이전 버전 (Windows 플랫폼)
⚔️ 공격 벡터
MS-DOS 장치 이름을 포함하는 HTTP GET 요청 (예: /aux, /con, /prn, /lpt1)
🛡️ 대응 방법
shttpd를 1.4 이상으로 업그레이드하거나, 서버 구성에서 장치 이름 요청 필터링 적용
🔧 검증 코드
200 응답이 반환되고 서버가 응답하면 취약점 가능성 있음. 업그레이드 후 테스트하여 필터링 확인
curl -I http://localhost/aux 2>/dev/null | head -1