🇰🇷 한글 설명
mod_userdir를 사용하는 사이트에서 CRLF 인젝션이 발생하여 HTTP 응답 분할 공격이 가능할 수 있는 취약점입니다. 이 문제는 Location 헤더나 기타 출력 헤더의 키 및 값에 CR 또는 LF 문자가 삽입되는 것을 금지함으로써 해결되었습니다.
💡 쉬운 설명
웹사이트 주소를 전달하는 과정에서 특수 문자를 몰래 끼워 넣어 서버의 응답을 조작할 수 있는 문제입니다. 공격자는 이를 통해 가짜 페이지를 보여주거나 사용자의 정보를 가로챌 수 있습니다.
🇺🇸 원문 (English)
Possible CRLF injection allowing HTTP response splitting attacks for sites which use mod_userdir. This issue was mitigated by changes made in 2.4.25 and 2.2.32 which prohibit CR or LF injection into the "Location" or other outbound header key or value. Fixed in Apache HTTP Server 2.4.25 (Affected 2.4.1-2.4.23). Fixed in Apache HTTP Server 2.2.32 (Affected 2.2.0-2.2.31).
📍 영향받는 시스템
Apache HTTP Server 2.4.1-2.4.23 및 2.2.0-2.2.31
⚔️ 공격 벡터
mod_userdir 사용 시 HTTP 헤더에 CRLF(줄바꿈 문자)를 주입하여 응답을 분할함
🛡️ 대응 방법
Apache HTTP Server를 2.4.25 또는 2.2.32 이상의 버전으로 업데이트
🔧 검증 코드
출력된 버전이 2.4.25 미만 또는 2.2.32 미만인 경우 취약할 가능성이 높습니다.
apache2 -v 2>/dev/null || httpd -v 2>/dev/null | grep -E 'Apache/2\.(2\.[0-9]{2}|4\.[0-9]{2})'