🇰🇷 한글 설명
Apache 2.x HTTP 서버용 mod_auth_openidc 모듈의 2.0.0부터 2.4.13.1 버전에서 발생하는 취약점입니다. OIDCStripCookies 설정이 활성화된 상태에서 조작된 쿠키를 전송하면 NULL 포인터 역참조로 인한 세그멘테이션 결함이 발생합니다. 이로 인해 서비스 거부(DoS) 공격이 가능하여 가용성에 위험을 초래할 수 있습니다.
💡 쉬운 설명
해커가 특수하게 만든 쿠키를 보내면 웹 서버가 갑자기 멈춰버리는 문제입니다. 이로 인해 일반 사용자들이 웹사이트에 접속하지 못하게 될 수 있습니다.
🇺🇸 원문 (English)
mod_auth_openidc is an authentication and authorization module for the Apache 2.x HTTP server that implements the OpenID Connect Relying Party functionality. In versions 2.0.0 through 2.4.13.1, when `OIDCStripCookies` is set and a crafted cookie supplied, a NULL pointer dereference would occur, resulting in a segmentation fault. This could be used in a Denial-of-Service attack and thus presents an availability risk. Version 2.4.13.2 contains a patch for this issue. As a workaround, avoid using `OIDCStripCookies`.
📍 영향받는 시스템
mod_auth_openidc versions 2.0.0 through 2.4.13.1
⚔️ 공격 벡터
조작된 쿠키를 전송하여 서버의 NULL 포인터 역참조 유도 (Denial-of-Service)
🛡️ 대응 방법
mod_auth_openidc를 2.4.13.2 이상 버전으로 업데이트하거나, 임시 방편으로 OIDCStripCookies 설정을 비활성화합니다.
🔧 검증 코드
출력된 모듈 버전이 2.4.13.2 미만인지 확인하여 취약 여부를 판단합니다.
apache2ctl -M | grep mod_auth_openidc && mod_auth_openidc --version 2>/dev/null || dpkg -l | grep mod-auth-openidc