🇰🇷 한글 설명
Apache Portable Runtime(APR) 라이브러리 1.4.3, 1.4.4 및 Apache HTTP Server 2.2.18의 fnmatch 구현에서 특정 와일드카드 패턴과 일치하지 않는 URI를 처리할 때 무한 루프가 발생하여 서비스 거부(DoS) 공격이 가능합니다. mod_autoindex의 /*/WEB-INF/ 패턴 설정 사용 시 취약점이 악용될 수 있습니다.
💡 쉬운 설명
웹 서버가 특정 요청을 처리할 때 무한 반복에 빠져서 응답하지 않는 문제입니다. 공격자가 특수하게 만든 URL을 보내면 서버가 멈출 수 있습니다.
🇺🇸 원문 (English)
The fnmatch implementation in apr_fnmatch.c in the Apache Portable Runtime (APR) library 1.4.3 and 1.4.4, and the Apache HTTP Server 2.2.18, allows remote attackers to cause a denial of service (infinite loop) via a URI that does not match unspecified types of wildcard patterns, as demonstrated by attacks against mod_autoindex in httpd when a /*/WEB-INF/ configuration pattern is used. NOTE: this issue exists because of an incorrect fix for CVE-2011-0419.
📍 영향받는 시스템
APR 1.4.3, 1.4.4 및 Apache HTTP Server 2.2.18
⚔️ 공격 벡터
mod_autoindex의 와일드카드 패턴(/*/WEB-INF/)과 매칭되지 않는 특수 구성의 URI를 원격으로 전송
🛡️ 대응 방법
APR을 1.4.5 이상, Apache HTTP Server를 2.2.19 이상으로 업그레이드
🔧 검증 코드
설치된 APR 및 Apache 버전 정보가 표시되며, 버전 번호가 취약한 버전(APR 1.4.3-1.4.4, Apache 2.2.18)이 아닌지 확인합니다.
dpkg -l | grep -E '(apr|apache2)' 2>/dev/null || rpm -q apr httpd 2>/dev/null