🇰🇷 한글 설명
Apache HTTP Server 2.2.9부터 2.2.15, 2.3.4-alpha, 2.3.5-alpha 버전의 mod_proxy_http에서 프록시 워커 풀 설정 시 요청 타임아웃을 제대로 감지하지 않는 취약점입니다. 이를 악용하면 공격자가 일반적인 HTTP 요청으로 다른 클라이언트를 위한 민감한 응답을 탈취할 수 있습니다.
💡 쉬운 설명
Apache 웹 서버의 프록시 기능에서 요청 처리 시간 제한이 제대로 작동하지 않아, 공격자가 다른 사용자의 응답 데이터를 받을 수 있는 문제입니다. 정상적인 요청 하나만으로도 이 취약점을 악용할 수 있습니다.
🇺🇸 원문 (English)
mod_proxy_http.c in mod_proxy_http in the Apache HTTP Server 2.2.9 through 2.2.15, 2.3.4-alpha, and 2.3.5-alpha on Windows, NetWare, and OS/2, in certain configurations involving proxy worker pools, does not properly detect timeouts, which allows remote attackers to obtain a potentially sensitive response intended for a different client in opportunistic circumstances via a normal HTTP request.
📍 영향받는 시스템
Apache HTTP Server 2.2.9-2.2.15, 2.3.4-alpha, 2.3.5-alpha (Windows, NetWare, OS/2 플랫폼)
⚔️ 공격 벡터
프록시로 구성된 Apache 서버에 일반적인 HTTP 요청을 전송하여 타임아웃 감지 실패를 유발, 다른 클라이언트의 응답을 가로챔
🛡️ 대응 방법
Apache HTTP Server를 2.2.16 이상 또는 2.3.6 이상으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 2.2.16 이상 또는 2.3.6 이상이면 패치됨, 그 이하 버전이면 취약점 존재
httpd -v 2>/dev/null | grep -oP 'Server version: Apache/\K[0-9.]+'