🇰🇷 한글 설명
Apache HTTP Server 2.4.59 및 이전 버전의 mod_rewrite 모듈에서 출력 이스케이프 처리가 부적절하게 이루어지는 취약점입니다. 공격자는 이를 통해 의도하지 않은 파일 시스템 위치를 URL에 매핑하여 소스 코드를 유출하거나 원격 코드 실행을 수행할 수 있습니다.
💡 쉬운 설명
웹 서버의 주소 변환 규칙에 허점이 있어, 원래는 접근할 수 없는 서버 내부의 중요한 파일이나 코드를 해커가 몰래 볼 수 있는 문제입니다. 이를 통해 해커가 서버를 마음대로 조종할 수도 있습니다.
🇺🇸 원문 (English)
Improper escaping of output in mod_rewrite in Apache HTTP Server 2.4.59 and earlier allows an attacker to map URLs to filesystem locations that are permitted to be served by the server but are not intentionally/directly reachable by any URL, resulting in code execution or source code disclosure.
Substitutions in server context that use a backreferences or variables as the first segment of the substitution are affected. Some unsafe RewiteRules will be broken by this change and the rewrite flag "UnsafePrefixStat" can be used to opt back in once ensuring the substitution is appropriately constrained.
📍 영향받는 시스템
Apache HTTP Server 2.4.59 및 그 이전의 모든 버전
⚔️ 공격 벡터
서버 설정 내 백레퍼런스나 변수를 사용하는 부적절한 RewriteRule을 이용한 URL 매핑 공격
🛡️ 대응 방법
Apache HTTP Server를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.4.59 이하인 경우 해당 취약점에 노출되어 있을 가능성이 높습니다.
httpd -v 2>/dev/null || apache2 -v 2>/dev/null | grep -E 'Apache/2.4.[0-5][0-9]'