🇰🇷 한글 설명
Apache httpd의 ap_get_basic_auth_pw() 함수가 인증 단계 밖에서 타사 모듈에 의해 호출될 때 발생하는 취약점입니다. HTTP 기본 인증 메커니즘을 우회하여 미인증 사용자가 보호된 리소스에 접근할 수 있습니다.
💡 쉬운 설명
Apache 웹 서버의 로그인 확인 기능이 특정 상황에서 작동하지 않을 수 있습니다. 공격자가 비밀번호 없이 보호된 페이지에 접근할 수 있습니다.
🇺🇸 원문 (English)
In Apache httpd 2.2.x before 2.2.33 and 2.4.x before 2.4.26, use of the ap_get_basic_auth_pw() by third-party modules outside of the authentication phase may lead to authentication requirements being bypassed.
📍 영향받는 시스템
Apache httpd 2.2.x (2.2.33 미만), Apache httpd 2.4.x (2.4.26 미만)
⚔️ 공격 벡터
타사 모듈이 인증 처리 외부에서 ap_get_basic_auth_pw() 함수를 호출하여 기본 인증 우회
🛡️ 대응 방법
Apache httpd를 2.2.33 이상 또는 2.4.26 이상으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 2.2.33 이상 또는 2.4.26 이상이면 안전하고, 그 미만이면 취약 상태입니다.
httpd -v 2>/dev/null | grep -oP '(?<=Apache/)[0-9]+\.[0-9]+\.[0-9]+'