🇰🇷 한글 설명
Apache HTTP Server 2.4.59 및 이전 버전의 mod_rewrite에서 발생하는 치환 인코딩 문제입니다. 공격자는 설정상 허용되었으나 직접 접근이 불가능한 디렉토리 내의 스크립트를 실행하거나 CGI로만 실행되어야 할 스크립트를 노출시킬 수 있습니다.
💡 쉬운 설명
웹 서버의 주소를 변환하는 기능에 허점이 있어, 원래는 숨겨져 있어야 할 중요한 프로그램이 외부로 노출되거나 실행될 수 있는 위험이 있습니다. 해커가 이를 이용해 서버 내에서 원치 않는 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
Substitution encoding issue in mod_rewrite in Apache HTTP Server 2.4.59 and earlier allows attacker to execute scripts in
directories permitted by the configuration but not directly reachable by any URL or source disclosure of scripts meant to only to be executed as CGI.
Users are recommended to upgrade to version 2.4.60, which fixes this issue.
Some RewriteRules that capture and substitute unsafely will now fail unless rewrite flag "UnsafeAllow3F" is specified.
📍 영향받는 시스템
Apache HTTP Server 2.4.59 및 그 이전 모든 버전
⚔️ 공격 벡터
mod_rewrite의 부적절한 인코딩 처리를 이용한 스크립트 실행 및 소스 코드 노출
🛡️ 대응 방법
Apache HTTP Server를 보안 패치가 적용된 2.4.60 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 Apache 2.4.60 미만(예: 2.4.59 이하)이면 취약한 상태입니다.
httpd -v 2>/dev/null || apache2 -v 2>/dev/null | grep -E 'Apache/2\.(4\.[0-5][9]|\\d+)'