0xNews - 아파치 Apache 웹 서버에서 취약점 CVE 3개 발견

Google Project Zero 연구팀 발견

CVE-2020-9490

CVE-2020-11984

CVE-2020-11993 등

CVE 취약점 3개 발견

연구팀 발견 후 아파치 파운데이션측에서는 최신버전 2.4.46 업데이트 제공

CVE-2020-11984

CVSS 3.x 9.8 critical

apache mod_uwsgi 모듈에서 버퍼 오버플로우로 인한 원격 코드 실행 취약점 발생

또한 이를 통해 잠재적으로 공격자가 해당 아피치 사용자와 서버에서 실행되는 응용 프로그램의 권한에 따라 데이터에 대해 접속 후 보거나 수정하거나 삭제 가능

CVE-2020-11993

CVSS 3.x 7.5 high

apache mod_http2 모듈에서 디버깅이 활성화될 때 트리거되며 취약점 발생

잘못된 연결에서 로그인문이 작성되어 동시에 로그풀 사용으로 인해 메모리 손상 발생

CVE-2020-9490

CVSS 3.x 7.5 high

apache HTTP/2 모듈에 취약점 존재

특별히 만들어진 캐시 다이제스트 Cache-Digest 헤더를 사용하여 메모리 손상으로 인해 충돌과 DoS 발생

캐시 다이제스트는 서버 푸시 문제를 해결하는 것을 목표로 하는 웹 최적화 기능 중 일부

이를 통해 서버는 미리 클라이언트에서 미리 응답 전송 가능

또한 새로 캐시된 컨텐츠를 서버로 전달 가능

클라이언트의 캐시에 이미 있는 리소스를 전달하는데 대역폭이 낭비되지 않도록 함

따라서 특별히 제작된 값이 HTTP/2 요청의 cache-digest 헤더에 삽입되면

서버가 헤더를 사용하여 PUSH 패킷을 보낼 때 충돌 발생

패치가 적용되지 않은 서버에서 이 문제는 HTTP/2 서버 푸시 기능을 해제하여 대응과 해결 가능

apache 에서 제공하는 Server Push 관련 사이트 링크

현재까지 해당 취약점으로 인한 공격과 피해에 대한 소식은 없음

하지만 apache 패치를 빨리 적용하는 것을 권고

openLab