🇰🇷 한글 설명
lighttpd 1.4.20 미만 버전에서 URL 디코딩을 수행하기 전에 url.redirect 및 url.rewrite 설정의 패턴과 URI를 비교하는 취약점이 존재합니다. 이를 통해 원격 공격자가 의도된 접근 제한을 우회하여 민감한 정보를 획득하거나 데이터를 수정할 수 있습니다.
💡 쉬운 설명
웹 서버가 주소를 검사할 때 특수 문자를 해석하기 전에 먼저 검사하여 보안 규칙을 피해가는 문제입니다. 공격자가 복잡하게 꼬아놓은 주소를 사용하면 서버의 차단 규칙을 무시하고 금지된 페이지에 접속할 수 있습니다.
🇺🇸 원문 (English)
lighttpd before 1.4.20 compares URIs to patterns in the (1) url.redirect and (2) url.rewrite configuration settings before performing URL decoding, which might allow remote attackers to bypass intended access restrictions, and obtain sensitive information or possibly modify data.
📍 영향받는 시스템
lighttpd 1.4.20 미만 모든 버전
⚔️ 공격 벡터
URL 인코딩된 특수 문자를 이용한 접근 제어 우회 공격
🛡️ 대응 방법
lighttpd를 1.4.20 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.4.20보다 낮으면 취약한 상태입니다.
lighttpd -v 2>/dev/null | grep -oE 'lighttpd/[0-9.]+'