🇰🇷 한글 설명
Apache HTTP Server 2.4.18부터 2.4.20 버전에서 mod_http2와 mod_ssl이 활성화된 상태일 때, SSLVerifyClient require 지시문이 HTTP/2 요청 인증에 대해 제대로 인식되지 않는 취약점입니다. 공격자는 단일 연결을 통해 여러 요청을 보내고 SSL 재협상을 중단하는 방식으로 의도된 접근 제한을 우회할 수 있습니다.
💡 쉬운 설명
웹 서버의 보안 점검 기능이 HTTP/2 프로토콜에서 작동하지 않는 문제입니다. 이를 악용하면 권한이 없는 사용자도 제한된 자원에 접근할 수 있습니다.
🇺🇸 원문 (English)
The Apache HTTP Server 2.4.18 through 2.4.20, when mod_http2 and mod_ssl are enabled, does not properly recognize the "SSLVerifyClient require" directive for HTTP/2 request authorization, which allows remote attackers to bypass intended access restrictions by leveraging the ability to send multiple requests over a single connection and aborting a renegotiation.
📍 영향받는 시스템
Apache HTTP Server 2.4.18-2.4.20 (mod_http2, mod_ssl 활성화)
⚔️ 공격 벡터
HTTP/2를 통해 단일 연결에서 여러 요청을 전송하고 SSL 클라이언트 인증 재협상을 중단하여 접근 제한 우회
🛡️ 대응 방법
Apache HTTP Server를 2.4.21 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 2.4.21 이상이면 안전하고, 2.4.20 이하면 취약점이 있습니다.
httpd -v 2>/dev/null | grep -oP '2\.4\.[0-9]+' || apache2ctl -v 2>/dev/null | grep -oP '2\.4\.[0-9]+'