🇰🇷 한글 설명
mod_auth_openidc의 버그로 인해 POST 인증 요청 메소드 사용 시 보호된 콘텐츠가 인증되지 않은 사용자에게 노출됩니다. 응용 프로그램 게이트웨이 보호가 없는 환경에서 httpd가 인증 양식과 함께 보호된 리소스를 응답에 포함시킵니다. 2.4.16.11 이상으로 업그레이드하면 해결됩니다.
💡 쉬운 설명
Apache 웹 서버의 인증 모듈 버그로 로그인하지 않은 사용자도 보호된 페이지 내용을 볼 수 있습니다. 특정 설정에서만 발생하며 패치 버전으로 업데이트하면 됩니다.
🇺🇸 원문 (English)
mod_auth_openidc is an OpenID Certified authentication and authorization module for the Apache 2.x HTTP server that implements the OpenID Connect Relying Party functionality. Prior to 2.4.16.11, a bug in a mod_auth_openidc results in disclosure of protected content to unauthenticated users. The conditions for disclosure are an OIDCProviderAuthRequestMethod POST, a valid account, and there mustn't be any application-level gateway (or load balancer etc) protecting the server. When you request a protected resource, the response includes the HTTP status, the HTTP headers, the intended response (the self-submitting form), and the protected resource (with no headers). This is an example of a request for a protected resource, including all the data returned. In the case where mod_auth_openidc returns a form, it has to return OK from check_userid so as not to go down the error path in httpd. This means httpd will try to issue the protected resource. oidc_content_handler is called early, which has the opportunity to prevent the normal output being issued by httpd. oidc_content_handler has a number of checks for when it intervenes, but it doesn't check for this case, so the handler returns DECLINED. Consequently, httpd appends the protected content to the response. The issue has been patched in mod_auth_openidc versions >= 2.4.16.11.
📍 영향받는 시스템
mod_auth_openidc < 2.4.16.11
⚔️ 공격 벡터
OIDCProviderAuthRequestMethod POST 설정 하에서 보호된 리소스 요청
🛡️ 대응 방법
mod_auth_openidc를 2.4.16.11 이상으로 업그레이드
🔧 검증 코드
설치된 버전이 2.4.16.11 이상이면 보호됨, 이하면 취약함
apt-cache policy libapache2-mod-auth-openidc 2>/dev/null | grep 'Installed:' | awk '{print $2}'