🇰🇷 한글 설명
Apache HTTP Server 2.4.37 및 2.4.38 버전의 mod_ssl에서 TLSv1.3을 사용하여 위치별 클라이언트 인증서를 검증할 때 버그가 발생합니다. 이로 인해 클라이언트가 설정된 액세스 제어 제한을 우회할 수 있는 취약점이 존재합니다.
💡 쉬운 설명
특정 보안 설정이 적용된 웹 서버에서 인증 절차를 거치지 않고도 허가되지 않은 사용자가 접속할 수 있는 문제입니다. TLSv1.3이라는 최신 보안 통신 방식을 사용할 때 보안 검사가 제대로 이루어지지 않아 발생합니다.
🇺🇸 원문 (English)
In Apache HTTP Server 2.4 releases 2.4.37 and 2.4.38, a bug in mod_ssl when using per-location client certificate verification with TLSv1.3 allowed a client to bypass configured access control restrictions.
📍 영향받는 시스템
Apache HTTP Server 2.4.37, 2.4.38 (mod_ssl 사용 시)
⚔️ 공격 벡터
TLSv1.3 프로토콜을 사용하여 클라이언트 인증서 검증을 우회하는 방식의 네트워크 공격
🛡️ 대응 방법
Apache HTTP Server를 2.4.39 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 Apache/2.4.37 또는 Apache/2.4.38이 포함되어 있으면 취약한 버전입니다.
apache2 -v 2>/dev/null || httpd -v 2>/dev/null | grep -E 'Apache/2.4\.(37|38)'