🇰🇷 한글 설명
Apache Portable Runtime Utility(APR-util) 1.3.10 이전 버전의 apr_brigade_split_line 함수에서 메모리 누수 취약점이 발견되었습니다. 이 취약점으로 인해 원격 공격자는 APR bucket의 부정확한 소멸을 통해 메모리 소비를 야기하고 서비스 거부(DoS) 공격을 수행할 수 있습니다.
💡 쉬운 설명
APR-util 라이브러리에서 메모리가 제대로 정리되지 않는 버그로, 악의적인 요청을 보내면 서버 메모리를 계속 낭비합니다. 이로 인해 서버가 느려지거나 중단될 수 있습니다.
🇺🇸 원문 (English)
Memory leak in the apr_brigade_split_line function in buckets/apr_brigade.c in the Apache Portable Runtime Utility library (aka APR-util) before 1.3.10, as used in the mod_reqtimeout module in the Apache HTTP Server and other software, allows remote attackers to cause a denial of service (memory consumption) via unspecified vectors related to the destruction of an APR bucket.
📍 영향받는 시스템
Apache Portable Runtime Utility (APR-util) < 1.3.10, Apache HTTP Server mod_reqtimeout 모듈 및 이를 사용하는 모든 소프트웨어
⚔️ 공격 벡터
원격 공격자가 특정 벡터(미지정)를 통해 APR bucket 소멸 로직 오류를 트리거하여 메모리 누수 유발
🛡️ 대응 방법
APR-util을 1.3.10 이상으로 업그레이드하고 Apache HTTP Server를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
설치된 libaprutil1 버전이 1.3.10 미만이면 취약하며, 1.3.10 이상이면 패치됨을 확인할 수 있습니다.
dpkg -l | grep libaprutil && apt-cache policy libaprutil1 | grep 'Installed'