🇰🇷 한글 설명
Apache HTTP Server 2.2.15 이전의 다중 스레드 환경에서 subrequests 헤더 처리 중 발생하는 메모리 정보 노출 취약점. 부모 요청이 본문을 포함할 때 이전 요청의 메모리 영역에 접근 가능하여 원격 공격자가 민감한 정보를 획득할 수 있음.
💡 쉬운 설명
웹 서버가 여러 요청을 동시에 처리할 때 요청 간 정보가 섞여서 한 사용자가 다른 사용자의 데이터를 볼 수 있게 되는 문제입니다. 특정하게 만든 요청으로 이전 요청의 메모리에 접근하여 개인정보를 유출할 수 있습니다.
🇺🇸 원문 (English)
The ap_read_request function in server/protocol.c in the Apache HTTP Server 2.2.x before 2.2.15, when a multithreaded MPM is used, does not properly handle headers in subrequests in certain circumstances involving a parent request that has a body, which might allow remote attackers to obtain sensitive information via a crafted request that triggers access to memory locations associated with an earlier request.
📍 영향받는 시스템
Apache HTTP Server 2.2.x (< 2.2.15), 다중 스레드 MPM 사용 환경
⚔️ 공격 벡터
멀티 스레드 환경에서 본문이 있는 부모 요청과 함께 특정 구조의 subrequests를 전송하여 이전 요청의 메모리 영역 접근
🛡️ 대응 방법
Apache HTTP Server를 2.2.15 이상으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 2.2.15 이상이면 안전, 2.2.15 미만이면 즉시 패치 필요
httpd -v 2>/dev/null | grep -oP 'Apache/\d+\.\d+\.\d+' || apache2ctl -v 2>/dev/null | grep -oP 'Apache/\d+\.\d+\.\d+'