🇰🇷 한글 설명
Apache HTTP Server의 과도한 whitespace 허용으로 인한 취약점입니다. Proxy 체인이나 백엔드 서버와의 상호작용 시 request smuggling, response splitting, cache pollution 공격이 가능합니다.
💡 쉬운 설명
웹 서버가 요청의 공백 문자를 제대로 검증하지 않아 공격자가 요청을 조작할 수 있습니다. 이를 이용해 다른 사용자의 요청을 변조하거나 캐시를 오염시킬 수 있습니다.
🇺🇸 원문 (English)
Apache HTTP Server, in all releases prior to 2.2.32 and 2.4.25, was liberal in the whitespace accepted from requests and sent in response lines and headers. Accepting these different behaviors represented a security concern when httpd participates in any chain of proxies or interacts with back-end application servers, either through mod_proxy or using conventional CGI mechanisms, and may result in request smuggling, response splitting and cache pollution.
📍 영향받는 시스템
Apache HTTP Server 2.2.32 이전, 2.4.25 이전 버전
⚔️ 공격 벡터
HTTP 요청/응답 헤더의 whitespace 조작을 통한 request smuggling, response splitting, cache pollution
🛡️ 대응 방법
Apache HTTP Server를 2.2.32 또는 2.4.25 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 2.2.32 이상 또는 2.4.25 이상이면 안전합니다. 2.2.32 미만 또는 2.4.24 이하면 패치 필요합니다.
apache2ctl -v 2>/dev/null | grep 'Server version' || httpd -v 2>/dev/null | grep 'Server version'