🇰🇷 한글 설명
httpd가 RFC 2616 및 RFC 7230에서 규정하는 obs-fold(헤더 연속 줄) 기능을 구현하지 않아 발생하는 보안 취약점입니다. 모든 CRLF 뒤에 오는 비-CRLF 옥텟을 무조건 새로운 헤더의 시작으로 처리하며, 이는 HTTP 요청 스머글링(Request Smuggling) 공격의 원인이 될 수 있습니다.
💡 쉬운 설명
웹 서버가 HTTP 메시지의 형식을 표준과 다르게 해석하여 발생하는 문제입니다. 공격자가 특수한 메시지를 보내 서버를 혼란에 빠뜨리고, 다른 사용자의 요청을 가로채거나 조작할 수 있습니다.
🇺🇸 원문 (English)
httpd has never implemented obs-fold (RFC 2616 §2.2 / RFC 7230 §3.2.4 header continuation lines). Every CRLF followed by a non-CRLF octet unconditionally starts a new header. This missing feature became a security concern as the understanding of HTTP request smuggling attacks evolved.
This issue affects OTP from OTP 17.0 before OTP 27.3.4.17, from OTP 28.0 before OTP 28.5.0.6, and from OTP 29.0 before OTP 29.0.6, corresponding to inets from 5.10 before 9.3.2.7, from 9.4 before 9.6.2.3, and from 9.7 before 9.7.2. Whether OTP before OTP 17.0, corresponding to inets before 5.10, is affected is unknown.
📍 영향받는 시스템
OTP 17.0 미만, 28.0~28.5.0.6 미만, 29.0~29.0.6 미만 및 이에 대응하는 inets 5.10~9.3.2.7 미만, 9.4~9.6.2.3 미만, 9.7~9.7.2 미만 버전
⚔️ 공격 벡터
HTTP 요청 헤더 내에 obs-fold 형식을 사용하여 서버의 해석 차이를 이용한 HTTP 요청 스머글링 공격
🛡️ 대응 방법
해당 취약점이 해결된 최신 버전의 OTP 또는 inets로 업데이트를 수행하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 범위(17.0 미만, 28.0~28.5.0.6 미만, 29.0~29.0.6 미만)에 해당하는지 확인하십시오.
erlang -version || otp_release 2>/dev/null | grep -E '17\.|28\.|29\.'