Apache 웹 서버 취약점 3개 발견

Google Project Zero expert found 3 flaws in Apache Web Server

 

Apache Foundation이 웹 서버 소프트웨어에 영향을 미치는 취약점 3개를 수정하는 버전 2.4.46을 공개했습니다. 공격자는 특정 조건에서 해당 취약점을 악용 가능하며 임의 코드를 실행하거나 서버를 충돌시켜 DoS를 유발할 수 있게 됩니다.

 

이 취약점 3개는 CVE-2020-9490, CVE-2020-11984, CVE-2020-11993으로 등록되었으며 구글 Project Zero 연구원인 Felix Wilhelm이 발견해 제보했습니다.

 

“Apache의 mod_http2 모듈은 단일 HTTP/2 연결을 통해 푸시된 모든 리소스를 추적하는 ‘Push diary’라는 기능을 지원합니다. 필요치 않은 푸시를 피하기 위해 클라이언트는 ‘Cache-Digest’ 헤더에 Base64로 인코딩된 diary를 보내 활성화된 push diary를 초기화하거나 대체할 수 있습니다.”

 

“안타깝게도 현재 안정화된 버전(2.4.43)은 diary digest를 부적절하게 파싱하여 memmove 호출을 통한 메모리 변형이 발생할 수 있습니다.”

 

이 중 가장 심각한 취약점은 CVE-2020-9490으로 HTTP/2 모듈에 존재합니다.

 

공격자는 특수 제작된 ‘Cache-Digest’ 헤더를 통해 충돌 및 서비스 거부로 이어지는 메모리 변형 조건을 유발할 수 있습니다.

 

“HTTP/2 요청 내 ‘Cache-Digest’ 헤더 값을 특수 제작함으로써 서버가 이후 리소스 HTTP/2 PUSH를 시도할 때 충돌이 발생할 수 있습니다.”

 

CVE-2020-11984로 추적된 두 번째 취약점은 원격 코드 실행으로 이어질 수 있는 버퍼 오버플로우 문제로 “mod_uwsgi” 모듈에 영향을 미칩니다.

 

공격자가 이 취약점을 악용할 경우 서버에서 실행되는 애플리케이션에 부여된 권한에 따라 민감 정보를 열람, 변경, 삭제할 수 있게 됩니다.

 

“mod_proxy_ajp 및 mod_proxy_http 모듈이 에러 처리에 필요할 경우 백엔드 서버로의 연결을 항상 닫지는 않습니다. 이로써 사용자 간 응답 혼동으로 인해 정보 공개가 발생할 수 있습니다.”

 

CVE-2020-11993로 등록된 세 번째 취약점은 “mod_http2” 모듈에서 디버깅이 활성화된 경우에만 악용이 가능하며 잘못된 연결에서의 상태 로깅을 유발해 동시 로그 풀 사용으로 인한 메모리 변형으로 이어질 수 있습니다.

 

Apache Foundation은 아직까지 이를 악용한 실제 공격이 발생했다는 제보는 받지 못했다고 밝혔습니다. 관리자 분들은 즉시 이 취약점을 패치할 것을 권장합니다.

 

 

  

출처:

https://securityaffairs.co/wordpress/107499/security/apache-web-server-flaws.html

https://bugs.chromium.org/p/project-zero/issues/detail?id=2030