🇰🇷 한글 설명
Apache HTTP Server의 mod_pagespeed 모듈이 호스트명을 제대로 검증하지 않아 발생하는 취약점입니다. 공격자는 특정 벡터를 통해 임의의 호스트로 HTTP 요청을 전송할 수 있으며, 이를 이용해 인트라넷 서버에 접근하거나 내부 리소스를 탈취할 수 있습니다.
💡 쉬운 설명
Apache의 페이지 최적화 모듈이 요청을 보낼 때 올바른 대상인지 확인하지 않아, 공격자가 다른 서버(특히 내부 네트워크)로 요청을 돌릴 수 있습니다. 이를 통해 내부 시스템의 정보를 빼내거나 서버를 악용할 수 있습니다.
🇺🇸 원문 (English)
The mod_pagespeed module before 0.10.22.6 for the Apache HTTP Server does not properly verify its host name, which allows remote attackers to trigger HTTP requests to arbitrary hosts via unspecified vectors, as demonstrated by requests to intranet servers.
📍 영향받는 시스템
Apache HTTP Server의 mod_pagespeed 모듈 0.10.22.6 이전 버전
⚔️ 공격 벡터
호스트명 검증 부족을 이용한 서버사이드 요청 위조(SSRF) 공격으로 임의 호스트로의 HTTP 요청 유도
🛡️ 대응 방법
mod_pagespeed를 0.10.22.6 이상의 패치 버전으로 즉시 업그레이드
🔧 검증 코드
설치된 mod_pagespeed의 패키지명과 버전이 표시되며, 0.10.22.6 미만이면 취약함
dpkg -l 2>/dev/null | grep pagespeed | awk '{print $2, $3}'