🇰🇷 한글 설명
Apache HTTP Server 2.4.63 이하 버전의 일부 mod_ssl 설정에서 HTTP 비동기화 공격이 발생할 수 있습니다. 'SSLEngine optional' 설정을 사용하는 경우, 중간자 공격자가 TLS 업그레이드를 통해 HTTP 세션을 탈취할 수 있습니다.
💡 쉬운 설명
웹 서버 설정 오류를 이용해 해커가 중간에서 사용자의 통신 내용을 가로챌 수 있는 보안 취약점입니다. 보안을 위해 서버를 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
In some mod_ssl configurations on Apache HTTP Server versions through to 2.4.63, an HTTP desynchronisation attack allows a man-in-the-middle attacker to hijack an HTTP session via a TLS upgrade.
Only configurations using "SSLEngine optional" to enable TLS upgrades are affected. Users are recommended to upgrade to version 2.4.64, which removes support for TLS upgrade.
📍 영향받는 시스템
Apache HTTP Server 2.4.63 및 그 이전 버전 (SSLEngine optional 설정 사용 시)
⚔️ 공격 벡터
TLS 업그레이드 과정을 악용한 HTTP 비동기화(Desynchronisation) 및 중간자(MitM) 공격
🛡️ 대응 방법
Apache HTTP Server를 TLS 업그레이드 지원이 제거된 2.4.64 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 2.4.64 미만인 경우 해당 취약점에 노출되었을 가능성이 있습니다.
httpd -v 2>/dev/null || apache2 -v 2>/dev/null | grep -E 'Apache/2\.(4\.[0-9]{1,2})'