🇰🇷 한글 설명
Apache HTTP Server의 mod_auth_openidc 모듈 2.1.6 이전 버전에서 OAuth 2.0 설정 시 OIDC_CLAIM_ 및 OIDCAuthNHeader 헤더를 적절히 검증하지 않아 발생하는 인증 우회 취약점입니다. 공격자는 조작된 HTTP 헤더를 통해 인증을 우회할 수 있습니다.
💡 쉬운 설명
웹 서버의 로그인 보안 모듈에서 가짜 인증 헤더를 걸러내지 못해 로그인 없이 접근할 수 있습니다. 업데이트되지 않은 Apache 서버가 위험합니다.
🇺🇸 원문 (English)
The "OpenID Connect Relying Party and OAuth 2.0 Resource Server" (aka mod_auth_openidc) module before 2.1.6 for the Apache HTTP Server does not skip OIDC_CLAIM_ and OIDCAuthNHeader headers in an "AuthType oauth20" configuration, which allows remote attackers to bypass authentication via crafted HTTP traffic.
📍 영향받는 시스템
Apache HTTP Server mod_auth_openidc 모듈 버전 2.1.6 이전
⚔️ 공격 벡터
원격 공격자가 조작된 OIDC_CLAIM_ 또는 OIDCAuthNHeader 헤더가 포함된 HTTP 요청을 전송하여 인증 검증 우회
🛡️ 대응 방법
mod_auth_openidc를 2.1.6 이상 버전으로 업그레이드
🔧 검증 코드
mod_auth_openidc 모듈이 설치되어 있으면 'installed', 없으면 'not found'가 출력됩니다.
apachectl -M 2>/dev/null | grep -i openidc && apxs -q CFLAGS | grep -q 'OPENIDC' && echo 'mod_auth_openidc installed' || echo 'not found'