🇰🇷 한글 설명
Apache HTTP Server 2.4.17부터 2.4.23 버전의 mod_http2 모듈에서 h2 또는 h2c 프로토콜 활성화 시 HTTP/2 요청 헤더 길이 제한이 없어, 공격자가 조작된 CONTINUATION 프레임을 연속 전송하여 메모리 고갈을 유발할 수 있습니다. 이는 서비스 거부(DoS) 공격으로 악용 가능합니다.
💡 쉬운 설명
Apache 웹 서버의 HTTP/2 기능이 과도하게 긴 헤더를 받아들여 메모리를 낭비하게 하는 문제입니다. 공격자가 의도적으로 긴 헤더를 반복 전송해 서버를 응답 불가 상태로 만들 수 있습니다.
🇺🇸 원문 (English)
The mod_http2 module in the Apache HTTP Server 2.4.17 through 2.4.23, when the Protocols configuration includes h2 or h2c, does not restrict request-header length, which allows remote attackers to cause a denial of service (memory consumption) via crafted CONTINUATION frames in an HTTP/2 request.
📍 영향받는 시스템
Apache HTTP Server 2.4.17 ~ 2.4.23 (mod_http2 모듈 활성화 상태)
⚔️ 공격 벡터
HTTP/2 CONTINUATION 프레임을 이용한 비정상적으로 긴 요청 헤더 전송으로 서버 메모리 고갈
🛡️ 대응 방법
Apache를 2.4.24 이상으로 업그레이드하거나 mod_http2 모듈을 비활성화
🔧 검증 코드
2.4.24 이상 버전이면 안전, 2.4.17~2.4.23 범위면 즉시 업그레이드 필요
apache2ctl -v 2>/dev/null | grep -i version