🇰🇷 한글 설명
Apache HTTP Server 2.4.20에서 2.4.43 버전 사이에서 HTTP/2 모듈의 trace/debug 설정이 활성화된 경우 발생합니다. 특정 트래픽 패턴에서 로그 기록이 잘못된 연결에 수행되어 메모리 풀의 동시 사용 문제를 일으키는 취약점입니다.
💡 쉬운 설명
서버가 로그를 남기는 과정에서 메모리를 잘못 관리하여 시스템 오류나 충돌을 일으킬 수 있는 문제입니다. 특정 설정이 켜져 있을 때 데이터가 엉뚱한 곳에 기록될 위험이 있습니다.
🇺🇸 원문 (English)
Apache HTTP Server versions 2.4.20 to 2.4.43 When trace/debug was enabled for the HTTP/2 module and on certain traffic edge patterns, logging statements were made on the wrong connection, causing concurrent use of memory pools. Configuring the LogLevel of mod_http2 above "info" will mitigate this vulnerability for unpatched servers.
📍 영향받는 시스템
Apache HTTP Server versions 2.4.20 to 2.4.43
⚔️ 공격 벡터
HTTP/2 모듈이 활성화된 상태에서 특정 패턴의 트래픽을 전송하여 메모리 경합 유도
🛡️ 대응 방법
Apache HTTP Server를 최신 버전으로 업데이트하거나, 패치가 불가능할 경우 LogLevel을 'info' 이하로 설정
🔧 검증 코드
출력된 버전이 2.4.20에서 2.4.43 사이의 범위에 해당하면 취약한 버전입니다.
apache2 -v 2>/dev/null || httpd -v 2>/dev/null | grep -E 'Apache/2\.(4\.(2[0-9]|3[0-9]|4[0-3]))'