🇰🇷 한글 설명
Apache HTTP Server 2.4.37 및 이전 버전의 mod_session 모듈에서 세션 만료 시간을 검증하는 로직에 결함이 있습니다. mod_session_cookie 사용 시 세션을 디코딩하기 전에 만료 시간을 확인하므로, 실제로는 만료된 세션임에도 불구하고 만료 시간이 무시될 수 있습니다.
💡 쉬운 설명
로그인 정보가 담긴 쿠키의 유효 기간이 지났음에도 불구하고, 서버가 이를 제대로 확인하지 못해 만료된 세션이 계속 사용될 수 있는 문제입니다. 이로 인해 보안이 취약해질 수 있습니다.
🇺🇸 원문 (English)
In Apache HTTP Server 2.4 release 2.4.37 and prior, mod_session checks the session expiry time before decoding the session. This causes session expiry time to be ignored for mod_session_cookie sessions since the expiry time is loaded when the session is decoded.
📍 영향받는 시스템
Apache HTTP Server 2.4.37 및 그 이전 버전 (mod_session_cookie 활성화 시)
⚔️ 공격 벡터
만료된 세션 쿠키를 재사용하여 인증을 우회하는 방식
🛡️ 대응 방법
Apache HTTP Server를 2.4.38 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 Apache/2.4.37 이하인 경우 해당 취약점에 노출된 상태입니다.
apache2 -v 2>/dev/null || httpd -v 2>/dev/null | grep -E 'Apache/2.4\.[0-9]{1,2}|Apache/2.4.37'