🇰🇷 한글 설명
Apache HTTP Server의 mod_fcgid 모듈 2.3.6에서 가상 호스트에 대한 FcgidMaxProcessesPerClass 지시문을 인식하지 못하는 결함입니다. 이로 인해 공격자가 HTTP 요청을 통해 의도된 제한을 초과하는 프로세스를 생성하여 메모리 소진 공격(DoS)을 수행할 수 있습니다.
💡 쉬운 설명
웹 서버의 FastCGI 모듈이 가상 호스트에서 프로세스 개수를 제대로 제한하지 못합니다. 공격자가 많은 요청을 보내 무한정 프로세스를 만들어 서버 메모리를 고갈시킬 수 있습니다.
🇺🇸 원문 (English)
fcgid_spawn_ctl.c in the mod_fcgid module 2.3.6 for the Apache HTTP Server does not recognize the FcgidMaxProcessesPerClass directive for a virtual host, which makes it easier for remote attackers to cause a denial of service (memory consumption) via a series of HTTP requests that triggers a process count higher than the intended limit.
📍 영향받는 시스템
Apache HTTP Server mod_fcgid 2.3.6 이전 버전 (특히 가상 호스트 환경에서)
⚔️ 공격 벡터
원격 공격자가 대량의 HTTP 요청을 전송하여 FcgidMaxProcessesPerClass 제한을 우회하고 과도한 FastCGI 프로세스 생성 유발
🛡️ 대응 방법
mod_fcgid를 2.3.7 이상으로 업그레이드하거나 FcgidMaxProcesses 전역 지시문으로 프로세스 제한 설정
🔧 검증 코드
mod_fcgid 로드 여부 확인 후 설치된 버전이 2.3.6 이하이면 취약함 (2.3.7+로 업그레이드 필요)
apachectl -M 2>/dev/null | grep fcgid || echo 'mod_fcgid not loaded'; dpkg -l 'libapache2-mod-fcgid' 2>/dev/null | grep -E '2\.3\.[0-6]'