🇰🇷 한글 설명
Apache HTTP Server 2.4.63 및 이전 버전의 mod_ssl에서 사용자 제공 데이터의 이스케이프 처리가 불충분하여 발생합니다. 특정 로그 설정에서 신뢰할 수 없는 SSL/TLS 클라이언트가 로그 파일에 이스케이프 문자를 삽입할 수 있습니다.
💡 쉬운 설명
해커가 특수 문자를 섞은 데이터를 보내 서버의 로그 기록을 조작하거나 가짜 정보를 남길 수 있는 취약점입니다. 로그 파일에 기록되는 내용이 깨지거나 관리자를 속이는 용도로 사용될 수 있습니다.
🇺🇸 원문 (English)
Insufficient escaping of user-supplied data in mod_ssl in Apache HTTP Server 2.4.63 and earlier allows an untrusted SSL/TLS client to insert escape characters into log files in some configurations.
In a logging configuration where CustomLog is used with "%{varname}x" or "%{varname}c" to log variables provided by mod_ssl such as SSL_TLS_SNI, no escaping is performed by either mod_log_config or mod_ssl and unsanitized data provided by the client may appear in log files.
📍 영향받는 시스템
Apache HTTP Server 2.4.63 및 그 이전 버전
⚔️ 공격 벡터
SSL/TLS SNI와 같은 변수를 로그에 기록하도록 설정된 환경에서 조작된 클라이언트 데이터를 전송
🛡️ 대응 방법
Apache HTTP Server를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Apache HTTP Server의 버전을 확인하여 2.4.63 이하인지 체크합니다.
apache2 --version 2>/dev/null || httpd -v 2>/dev/null | head -n 1