🇰🇷 한글 설명
Apple OS X 10.10.4 이전 버전의 Apache HTTP Server에서 mod_hfs_apple 모듈이 기본적으로 비활성화되어 있어, HFS+ 파일시스템의 대소문자 불감성을 악용한 URL 조작으로 HTTP 인증을 우회할 수 있습니다. 공격자는 protected 디렉토리를 다른 대소문자로 표기하여 접근 제어를 무시할 수 있습니다.
💡 쉬운 설명
Mac의 파일시스템이 ABC와 abc를 같은 파일로 취급하는 성질을 이용하여, 암호로 보호된 폴더를 다른 철자로 접근할 수 있습니다. 웹서버가 이를 방지하는 기능을 꺼두고 있어 발생하는 문제입니다.
🇺🇸 원문 (English)
The default configuration of the Apache HTTP Server on Apple OS X before 10.10.4 does not enable the mod_hfs_apple module, which allows remote attackers to bypass HTTP authentication via a crafted URL.
📍 영향받는 시스템
Apple OS X 10.10.3 이하 버전의 Apache HTTP Server (macOS에 내장된 기본 서버)
⚔️ 공격 벡터
인증된 URL과 대소문자만 다른 URL로 요청하여 접근 제어 우회 (예: /Protected 대신 /protected)
🛡️ 대응 방법
OS X를 10.10.4 이상으로 업그레이드하거나 mod_hfs_apple 모듈을 수동으로 활성화
🔧 검증 코드
mod_hfs_apple이 활성 모듈 목록에 표시되면 안전, 표시되지 않으면 취약
apachectl -M 2>/dev/null | grep -i hfs_apple || echo 'mod_hfs_apple not loaded'