🇰🇷 한글 설명
Apache HTTP Server의 mod_dav 모듈에 있는 dav_xml_get_cdata 함수가 CDATA 섹션의 공백 문자를 제대로 제거하지 않아, 원격 공격자가 조작된 DAV WRITE 요청을 통해 서버 프로세스를 중단시킬 수 있는 취약점입니다. 버전 2.4.8 이전의 Apache 서버가 영향을 받습니다.
💡 쉬운 설명
Apache 웹 서버의 DAV 기능에서 특정 데이터 처리 오류로 인해, 공격자가 의도적으로 잘못된 데이터를 보내면 웹 서버가 충돌할 수 있습니다. 이는 서비스 중단(DDoS)을 야기합니다.
🇺🇸 원문 (English)
The dav_xml_get_cdata function in main/util.c in the mod_dav module in the Apache HTTP Server before 2.4.8 does not properly remove whitespace characters from CDATA sections, which allows remote attackers to cause a denial of service (daemon crash) via a crafted DAV WRITE request.
📍 영향받는 시스템
Apache HTTP Server < 2.4.8 (mod_dav 모듈 활성화 시)
⚔️ 공격 벡터
원격 공격자가 악의적으로 조작된 DAV WRITE 요청을 웹 서버에 전송
🛡️ 대응 방법
Apache HTTP Server를 2.4.8 버전 이상으로 업그레이드하거나 mod_dav 모듈을 비활성화
🔧 검증 코드
출력 결과에 Apache 2.4.7 이하 버전이 나타나면 취약함. 2.4.8 이상이나 결과가 없으면 안전함
apache2 -v 2>/dev/null | grep -i 'Apache/2\.[0-3]\|Apache/2\.4\.[0-7]'