🇰🇷 한글 설명
Apache HTTP Server 2.4.10 이전 버전의 mod_cgid 모듈이 stdin을 읽지 않는 CGI 스크립트로의 요청을 처리할 때 timeout 메커니즘이 없어서, 원격 공격자가 프로세스를 무한정 대기하게 하여 서비스 거부(DoS) 공격을 수행할 수 있습니다. 웹 서버의 응답성이 심각하게 저하됩니다.
💡 쉬운 설명
Apache 웹 서버가 특정 CGI 요청에 무한정 기다려서 먹통이 되는 문제입니다. 공격자가 의도적으로 이를 악용하여 웹 서버를 마비시킬 수 있습니다.
🇺🇸 원문 (English)
The mod_cgid module in the Apache HTTP Server before 2.4.10 does not have a timeout mechanism, which allows remote attackers to cause a denial of service (process hang) via a request to a CGI script that does not read from its stdin file descriptor.
📍 영향받는 시스템
Apache HTTP Server 2.4.0 ~ 2.4.9 (mod_cgid 모듈 사용)
⚔️ 공격 벡터
stdin을 읽지 않는 CGI 스크립트로 요청을 보내 웹 서버 프로세스를 무한 대기 상태로 만듦
🛡️ 대응 방법
Apache HTTP Server를 버전 2.4.10 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 2.4.0~2.4.9이면 취약함; 2.4.10 이상이면 패치됨
httpd -v 2>/dev/null | grep -E 'Apache/2\.4\.[0-9]' || apache2ctl -v 2>/dev/null | grep -E 'Apache/2\.4\.[0-9]'