🇰🇷 한글 설명
Apache Traffic Server가 HTTP/2 멀티플렉싱된 오리진 연결을 재사용할 때, 서버 인증서가 새로운 요청 호스트네임을 포함하는지 확인하지 않는 취약점입니다. 이로 인해 인증서 검증이 누락되어 보안 위협이 발생할 수 있습니다.
💡 쉬운 설명
인터넷 연결 통로를 재사용할 때, 새로운 목적지가 맞는지 확인하는 절차를 건너뛰는 문제입니다. 이로 인해 잘못된 서버로 연결될 위험이 있습니다.
🇺🇸 원문 (English)
Apache Traffic Server reuses multiplexed HTTP/2 origin connections without verifying the server certificate covers the new request hostname.
This issue affects Apache Traffic Server: from 9.0.0 through 9.2.14, from 10.0.0 through 10.1.3.
Users are recommended to upgrade to version 9.2.15 or 10.1.4, which fix the issue.
📍 영향받는 시스템
Apache Traffic Server 9.0.0 ~ 9.2.14, 10.0.0 ~ 10.1.3
⚔️ 공격 벡터
멀티플렉싱된 HTTP/2 연결을 재사용하는 과정에서 호스트네임 검증을 우회하여 공격 대상 서버로 연결 유도
🛡️ 대응 방법
Apache Traffic Server를 9.2.15 또는 10.1.4 이상의 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 범위(9.0.0-9.2.14 또는 10.0.0-10.1.3)에 포함되는지 확인하십시오.
apache2-traffic-server --version 2>/dev/null || httpd -v 2>/dev/null | grep -i 'Apache Traffic Server'