🇰🇷 한글 설명
Apache HTTP Server 2.4.10 이하의 mod_lua 모듈이 같은 Lua 권한 제공자를 다른 인수로 여러 컨텍스트에서 사용하는 설정을 올바르게 처리하지 못해, 원격 공격자가 여러 Require 지시문을 악용하여 권한 검증을 우회할 수 있다. 서로 다른 그룹에 대한 디렉터리별 접근 제어가 제대로 작동하지 않아 의도하지 않은 접근이 가능해진다.
💡 쉬운 설명
웹 서버의 폴더 접근 권한 설정이 제대로 작동하지 않아 접근이 제한되어야 하는 사용자가 폴더에 접근할 수 있게 되는 문제입니다. 공격자가 이를 악용하면 민감한 데이터를 열람하거나 시스템에 영향을 미칠 수 있습니다.
🇺🇸 원문 (English)
mod_lua.c in the mod_lua module in the Apache HTTP Server 2.3.x and 2.4.x through 2.4.10 does not support an httpd configuration in which the same Lua authorization provider is used with different arguments within different contexts, which allows remote attackers to bypass intended access restrictions in opportunistic circumstances by leveraging multiple Require directives, as demonstrated by a configuration that specifies authorization for one group to access a certain directory, and authorization for a second group to access a second directory.
📍 영향받는 시스템
Apache HTTP Server 2.3.x and 2.4.x through 2.4.10
⚔️ 공격 벡터
여러 Require 지시문과 mod_lua의 권한 제공자 설정 충돌을 악용하여 접근 제어 우회
🛡️ 대응 방법
Apache HTTP Server를 2.4.11 이상으로 업그레이드하거나 mod_lua 모듈을 비활성화
🔧 검증 코드
버전이 2.4.10 이하면 취약하며 2.4.11 이상이면 패치됨
apache2ctl -v 2>/dev/null | grep 'Server version'