🇰🇷 한글 설명
Apache HTTP Server 2.4.17/2.4.18에서 mod_http2 활성화 시 단일 HTTP/2 연결의 동시 스트림 워커 개수 제한이 없어서 공격자가 흐름 제어 윈도우를 조작해 과도한 스트림을 생성할 수 있습니다. 이로 인해 서버의 스트림 처리 능력이 마비되는 서비스 거부 공격이 발생합니다.
💡 쉬운 설명
웹서버가 한 번에 처리할 수 있는 요청 개수 제한이 없어서, 해커가 너무 많은 요청을 동시에 보내면 서버가 응답 불가능하게 됩니다. 웹서버를 최신 버전으로 업그레이드하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
The Apache HTTP Server 2.4.17 and 2.4.18, when mod_http2 is enabled, does not limit the number of simultaneous stream workers for a single HTTP/2 connection, which allows remote attackers to cause a denial of service (stream-processing outage) via modified flow-control windows.
📍 영향받는 시스템
Apache HTTP Server 2.4.17, 2.4.18 (mod_http2 모듈 활성화된 경우)
⚔️ 공격 벡터
HTTP/2 클라이언트가 조작된 흐름 제어 윈도우로 대량의 동시 스트림을 생성하여 서버 리소스 고갈
🛡️ 대응 방법
Apache HTTP Server를 2.4.19 이상으로 업그레이드하거나 mod_http2 모듈 비활성화
🔧 검증 코드
버전이 2.4.19 이상이면 안전, 2.4.17 또는 2.4.18이면 취약함
apache2 -v 2>/dev/null | grep -i version || httpd -v 2>/dev/null | grep -i version