| 취약점ID |
22766 |
| 위험도 |
40 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
WWW |
| 상세설명 |
해당 호스트에는 버전 2.4.25 이전의 Apache HTTP 서버가 가동 중인 것으로 나타난다. 해당 버전은 다음과 같은 다중 취약점이 존재한다.
- mod_session_crypto 모듈에서 데이터와 쿠키를 암호화 할 때 CBC 또는 ECB모드를 디폴트로 사용한다. 이로 인해 공격자는 패딩 오라클 공격을 통해 암호화 키에 대한 정보 없이 정보들을 복호화 하여 중요한 정보를 획득할 수 있다. (CVE-2016-0736)
- mod_auth_digest 모듈에 클라이언트 접속에 대한 할당 시 서비스 거부가 발생한다. 이로 인해 공격자는 조작된 입력값을 통해 공유 메모리를 모두 소진시켜 서비스 거부를 일으킬 수 있다. (CVE-2016-2161)
- HTTP_PROXY 환경 변수에 신뢰할 수 없는 사용자 데이터의 존재를 올바르게 처리하지 못하여 공격자가 아웃바운드 HTTP 트래픽을 임의의 프록시 서버로 리다이렉트할 수 있는 오류가 존재한다. 이로 인해 공격자는 HTTP 요청에 조작된 프록시 헤더를 입력하여 'httpoxy'로 알려진 man-in-the-middle 공격을 할 수 있다. (CVE-2016-5387)
- mod_http2 모듈에서 LimitRequestFields 지시를 올바르게 처리하지 못하여 서비스 거부가 발생하는 오류가 존재한다. 이로 인해 공격자는 HTTP/2 요청의 CONTINUATION 프레임을 조작하여 무제한 요청 헤더를 서버에 주입함으로써 메모리 자원을 소진하게 할 수 있다. (CVE-2016-8740)
- user-agent 헤더에 있는 여백 패턴 처리를 올바르게 하지 못하는 오류가 존재한다. 이로 인해 공격자는 조작된 user-agent 헤더를 통해 요청의 순서를 올바르게 처리하지 못하도록 하여 캐시를 잘못된 데이터로 채우거나 요청의 컨텐츠를 읽을 수 있다. (CVE-2016-8743)
* 알림: 이 점검항목은 이 취약점을 점검하기 위해 해당 웹 서버의 배너 정보만을 확인한다. 따라서 거짓 양성반응(False Positive)을 보일 수 있다.
* 참고 사이트:
https://httpd.apache.org/dev/dist/Announcement2.4.html
http://httpd.apache.org/security/vulnerabilities_24.html
https://github.com/apache/httpd/blob/2.4.x/CHANGES
https://www.apache.org/security/asf-httpoxy-response.txt
https://httpoxy.org
* 영향을 받는 플랫폼:
Apache HTTP Server 2.4.25 이전의 2.4.x 버전들
Any operating system Any version |
| 해결책 |
Apache Software Foundation 웹 사이트인 http://httpd.apache.org/download.cgi 에서 구할 수 있는 Apache HTTP Server의 가장 최신 버전(2.4.25 혹은 이후)으로 업그레이드 하여야 한다. |
| 관련 URL |
CVE-2016-0736,CVE-2016-2161,CVE-2016-5387,CVE-2016-8740,CVE-2016-8743 (CVE) |
| 관련 URL |
91816,94650,95076,95077,95078 (SecurityFocus) |
| 관련 URL |
(ISS) |
|
