🇰🇷 한글 설명
Apache HTTP Server 2.2.17부터 2.2.21 버전의 mod_log_config 모듈에서 threaded MPM 사용 시 %{}C 형식 문자열을 잘못 처리합니다. 이름과 값이 모두 없는 특수한 쿠키를 원격 공격자가 전송하면 웹 서버 데몬이 충돌(DoS)할 수 있습니다.
💡 쉬운 설명
Apache 웹 서버가 특정 형태의 비정상 쿠키를 받으면 처리하지 못해 서버가 다운됩니다. 인터넷 누구나 이를 악용해 웹 사이트를 멈추게 할 수 있습니다.
🇺🇸 원문 (English)
The log_cookie function in mod_log_config.c in the mod_log_config module in the Apache HTTP Server 2.2.17 through 2.2.21, when a threaded MPM is used, does not properly handle a %{}C format string, which allows remote attackers to cause a denial of service (daemon crash) via a cookie that lacks both a name and a value.
📍 영향받는 시스템
Apache HTTP Server 2.2.17, 2.2.18, 2.2.19, 2.2.20, 2.2.21 (threaded MPM 사용 시)
⚔️ 공격 벡터
이름과 값이 모두 없는 쿠키를 포함한 HTTP 요청을 서버에 전송
🛡️ 대응 방법
Apache HTTP Server를 2.2.22 이상 버전으로 업그레이드
🔧 검증 코드
현재 Apache 버전이 2.2.17~2.2.21 범위에 있으면 취약점 노출 상태입니다.
apache2ctl -v 2>/dev/null | grep 'Server version' || httpd -v 2>/dev/null | grep 'Server version'