🇰🇷 한글 설명
공격자가 초기 윈도우 크기를 0으로 설정한 HTTP/2 연결을 생성하여 Apache HTTP Server의 연결 처리를 무기한 차단할 수 있는 취약점입니다. 이는 'Slowloris' 공격과 유사하게 서버의 워커 리소스를 고갈시켜 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
공격자가 서버와 대화를 시작하자마자 '데이터를 받을 준비가 안 됐다'고 거짓말을 하여 서버의 연결 통로를 계속 붙잡아 두는 공격입니다. 이로 인해 서버의 연결 통로가 모두 꽉 차게 되어 일반 사용자가 접속할 수 없게 됩니다.
🇺🇸 원문 (English)
An attacker, opening a HTTP/2 connection with an initial window size of 0, was able to block handling of that connection indefinitely in Apache HTTP Server. This could be used to exhaust worker resources in the server, similar to the well known "slow loris" attack pattern.
This has been fixed in version 2.4.58, so that such connection are terminated properly after the configured connection timeout.
This issue affects Apache HTTP Server: from 2.4.55 through 2.4.57.
Users are recommended to upgrade to version 2.4.58, which fixes the issue.
📍 영향받는 시스템
Apache HTTP Server 2.4.55 ~ 2.4.57
⚔️ 공격 벡터
HTTP/2 프로토콜의 윈도우 크기 조절 기능을 악용한 리소스 고갈 공격 (DoS)
🛡️ 대응 방법
Apache HTTP Server를 취약점이 해결된 버전인 2.4.58 이상으로 업그레이드하십시오.
🔧 검증 코드
명령어 결과에 Apache/2.4.55, 2.4.56, 2.4.57 중 하나가 출력되면 취약한 버전입니다.
httpd -v 2>/dev/null || apache2 -v 2>/dev/null | grep -E 'Apache/2\.(4\.(5[5-7]))'