| 취약점ID |
210220 |
| 위험도 |
40 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
WWW |
| 상세설명 |
원격 호스트에 설치된 Apache httpd의 버전이 2.4.54 이전입니다. 따라서 2.4.54 권고에서 언급한 여러 가지 취약성의 영향을 받습니다.
- mod_proxy_ajp: Apache HTTP Server의 mod_proxy_ajp HTTP 요청 해석 불일치 ('HTTP Request Smuggling') 취약점으로 인해 공격자가 요청을 전달하는 AJP 서버에 요청을 몰래 할 수 있습니다. 이 문제는 Apache HTTP Server Apache HTTP Server 2.4 버전 2.4.53 및 이전 버전에 영향을 줍니다 (CVE-2022-26377)
- mod_isapi에서 범위를 벗어난 읽기: mod_isapi 모듈로 요청을 처리하도록 구성된 경우 Windows의 Apache HTTP Server 2.4.53 이전 버전은 범위를 벗어난 읽기를 할 수 있습니다. (CVE-2022-28330)
- ap_rwrite()를 통해 범위를 벗어난 읽기: 공격자가 mod_luaser:puts() 함수와 같이 ap_rwrite() 또는 ap_rputs()를 사용하여 서버가 매우 큰 입력을 반영하도록 할 수 있는 경우 Apache HTTP Server 2.4.53 이전 버전의 ap_rwrite() 함수는 의도하지 않은 메모리를 읽을 수 있습니다.(CVE-2022-28614)
- ap_strcmp_match()에서 범위를 벗어난 읽기: Apache HTTP Server 2.4.53 이전 버전은 매우 큰 입력 버퍼를 제공할 때 ap_strcmp_match()의 범위를 벗어난 읽기 때문에 정보가 충돌하거나 노출될 수 있습니다. 서버와 함께 배포된 어떤 코드도 이러한 호출에 강제할 수 없지만, ap_strcmp_match()를 사용하는 타사 모듈이나 루아 스크립트가 영향을 받을 수 있습니다. (CVE-2022-28615)
- mod_luar:parsebody:의 서비스 거부: Apache HTTP Server 2.4.53 이전 버전에서는 r:parsebody(0)를 호출하는 루아 스크립트에 대해 악의적인 요청에 입력 크기 기본 제한이 없으므로 서비스 거부를 발생시킬 수 있습니다. (CVE-2022-29404)
- 서비스 거부 mod_sed: 아파치 HTTP 서버 2.4.53이 mod_sed에 대한 입력이 매우 클 수 있는 컨텍스트에서 mod_sed로 변환을 수행하도록 구성된다면 mod_sed는 과도하게 큰 메모리를 할당하고 중단 할 수 있습니다. (CVE-2022-30522)
- 웹 소켓을 사용하여 mod_lua의 정보 노출: 아파치 HTTP 서버 2.4.53 이전 버전은 버퍼에 할당된 스토리지의 끝을 가리키는 r:wsread()를 호출하면 응용 프로그램 길이를 반환할 수 있습니다. (CVE-2022-30556)
- X-Forwarded-mod_proxy의 홉 바이 홉 메커니즘에 의해 삭제되는 경우: Apache HTTP 서버 2.4.53 이전 버전은 클라이언트 측 연결 헤더 홉 바이 홉 메커니즘에 따라 X-Forwarded-* 헤더를 원본 서버로 보내지 않을 수 있습니다. 서버/애플리케이션에서 IP 기반 인증을 바이패스하는 데 사용될 수 있다.(CVE-2022-31813)
* 참고 사이트:
* 영향을 받는 플랫폼:
Apache HTTP Server 2.4.54 이전 2.4.x 버전
Any operating system Any version |
| 해결책 |
Apache Software Foundation 웹 사이트인 http://httpd.apache.org/download.cgi 에서 구할 수 있는 Apache HTTP Server의 가장 최신 버전(2.4.54 혹은 이후)으로 업그레이드 하여야 한다. |
| 관련 URL |
CVE-2022-26377,CVE-2022-28330,CVE-2022-28614,CVE-2022-28615,CVE-2022-29404,CVE-2022-30522,CVE-2022-30556,CVE-2022-31813 (CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
(ISS) |
|
