🇰🇷 한글 설명
Apache APR-util 1.3.5 이전 버전의 apr_strmatch_precompile 함수에서 발견된 취약점으로, 특수하게 조작된 입력을 통해 힙 기반 버퍼 언더플로우를 유발하여 데몬 충돌을 일으킬 수 있습니다. .htaccess 파일, mod_dav_svn의 SVNMasterURI 지시어, mod_apreq2 모듈, 또는 libapreq2 라이브러리를 사용하는 애플리케이션을 통해 원격 공격이 가능합니다.
💡 쉬운 설명
Apache 웹 서버의 APR-util 라이브러리에서 메모리를 잘못 접근하는 문제가 있습니다. 악의적인 파일이나 설정을 통해 웹 서버를 충돌시킬 수 있습니다.
🇺🇸 원문 (English)
The apr_strmatch_precompile function in strmatch/apr_strmatch.c in Apache APR-util before 1.3.5 allows remote attackers to cause a denial of service (daemon crash) via crafted input involving (1) a .htaccess file used with the Apache HTTP Server, (2) the SVNMasterURI directive in the mod_dav_svn module in the Apache HTTP Server, (3) the mod_apreq2 module for the Apache HTTP Server, or (4) an application that uses the libapreq2 library, which triggers a heap-based buffer underflow.
📍 영향받는 시스템
Apache APR-util < 1.3.5, Apache HTTP Server (mod_dav_svn, mod_apreq2 포함), libapreq2 라이브러리 사용 애플리케이션
⚔️ 공격 벡터
.htaccess 파일 또는 SVNMasterURI 지시어를 통한 특수하게 조작된 입력으로 힙 버퍼 언더플로우 트리거
🛡️ 대응 방법
Apache APR-util을 1.3.5 이상으로 업데이트하거나 영향받는 모듈을 최신 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 apr-util 1.3.5 이상이면 안전하며, 1.3.4 이하라면 취약합니다
dpkg -l | grep -E 'apr-util|libapreq2' | awk '{print $2, $3}'