🇰🇷 한글 설명
Apache HTTP Server 2.4.14 이전 버전의 ap_some_auth_required 함수에서 Require 지시문이 인증 설정이 아닌 권한 설정과 연결될 수 있다는 점을 제대로 처리하지 못합니다. 2.2 API 동작에 의존하는 모듈 사용 시 공격자가 의도된 접근 제한을 우회할 수 있습니다.
💡 쉬운 설명
Apache 웹 서버가 사용자 권한을 확인할 때 실수를 하여, 차단되어야 할 사람이 보호된 페이지에 접근할 수 있게 되는 문제입니다. 특히 구버전 호환 모듈을 사용할 때 이 취약점이 발동됩니다.
🇺🇸 원문 (English)
The ap_some_auth_required function in server/request.c in the Apache HTTP Server 2.4.x before 2.4.14 does not consider that a Require directive may be associated with an authorization setting rather than an authentication setting, which allows remote attackers to bypass intended access restrictions in opportunistic circumstances by leveraging the presence of a module that relies on the 2.2 API behavior.
📍 영향받는 시스템
Apache HTTP Server 2.4.0 ~ 2.4.13
⚔️ 공격 벡터
Require 지시문 권한 검증 우회를 통해 인증 없이 보호된 리소스에 접근
🛡️ 대응 방법
Apache HTTP Server를 2.4.14 이상으로 업그레이드
🔧 검증 코드
2.4.14 이상이면 패치됨, 2.4.13 이하면 취약함
apachectl -v 2>/dev/null | head -1 | grep -oP 'Apache/\K[0-9.]+'