활발히 악용되는 Apache 제로데이 취약점 패치돼

 

 

Apache fixes actively exploited zero-day vulnerability, patch now

 

Apache Software Foundation이 HTTP 웹 서버 버전 2.4.50을 공개해 취약점 2개를 수정했습니다. 특히 이 중 하나는 현재 진행 중인 공격에서 활발히 악용되는 경로 탐색 및 파일 공개 취약점입니다.

 

Apache HTTP Server는 강력한 기능을 가진 오픈소스 크로스 플랫폼 웹서버입니다. 따라서 이 제품에서 취약점이 발견될 경우 광범위한 피해를 입을 수 있습니다.

 

활발히 악용되는 제로데이 취약점은 CVE-2021-41773으로 등록되었으며, 공격자는 취약점을 악용한 경로 탐색 공격을 통해 URL을 예상된 문서 루트 밖에 있는 파일에 매핑할 수 있습니다.

 

경로 탐색 공격에는 접근해서는 안되는 백엔드 또는 민감 서버 디렉토리에 대한 액세스 요청 전송이 포함됩니다. 보통 이러한 요청은 차단되지만 이 경우는 URL에 인코딩된 문자(ASCII)를 사용해 필터를 우회합니다.

 

또한 이 취약점을 악용할 경우 CGI 스크립트와 같은 해석된 파일의 소스 유출로 이어질 수 있습니다.

 

이 공격이 성공하려면 타깃이 Apache HTTP Server 2.4.49를 실행해야 하며, “require all denied” 접근 제어 파라미터가 비활성화되어 있어야 합니다. 안타깝게도, 이는 기본 구성인 것으로 나타났습니다.

 

이전 Apache Server 버전이나 접근 구성이 다른 버전은 이에 취약하지 않습니다.

 

이 취약점 공개된 이후, 보안 연구원들은 취약점을 재현해내는데 성공했으며 관리자들에 해당 취약점을 즉시 패치해야 한다고 경고했습니다.

 

 

<이미지 출처 : https://twitter.com/ptswarm/status/1445376079548624899>

 

 

Shodan 검색 결과 온라인에서 Apache HTTP Server 2.4.49 버전이 십만 건 이상 발견되었으며, 이 중 상당수가 취약할 수 있기 때문에 가능한 한 빠른 시일 내 소프트웨어를 업데이트해야 합니다.

 

 

<배포된 Apache HTTP Server 2.4.49, 출처: Shodan>

 

 

이 취약점은 지난 9월 29일 보안 연구원인 Ash Daulton과 cPanel 보안팀이 발견해 Apache 측에 제보했습니다. 활발히 악용되는 취약점이기 때문에 빠르게 패치되었습니다.

 

이 취약점이 실제 공격에서 어떻게 사용되고 있는지는 아직까지 밝혀지지 않았습니다. 관련하여 Apache는 Bleeping Computer 측에 아래와 같이 답변했습니다.

 

"Apache HTTP Server 2.4.49는 불과 몇 주 전 출시되었기 때문에 많은 사용자가 아직까지 업그레이드하지 않았을 것입니다. 이 취약점 악용 가능 여부는 사용자의 서버 구성에 따라 크게 달라집니다. 버전 2.4.49를 사용하는 경우 대체 완화 수단으로 액세스 제어 구성을 사용하는 대신 최신 버전으로 업그레이드하는 것이 좋습니다. 공격자는 기본 구성일 경우 여전히 취약점을 악용해 CGI 스크립트와 같은 해석된 파일의 소스코드를 얻어낼 수 있습니다."

 

두 번째 취약점은 CVE-2021-41524로, HTTP/2 요청을 처리하던 중 발견된 null 포인터 역참조입니다. 공격자는 이 취약점을 악용하여 서버에 서비스 거부(DoS) 공격을 실행할 수 있습니다.

 

이 취약점도 Apache Server 버전 2.4.49에만 존재하지만, 활발히 악용되지는 않는 상태입니다. 이는 3주 전 발견되어 지난달 말 수정되었으며 현재 버전 2.4.50에 통합되었습니다.

 

 

 

 

출처:

https://www.bleepingcomputer.com/news/security/apache-fixes-actively-exploited-zero-day-vulnerability-patch-now/

https://httpd.apache.org/security/vulnerabilities_24.html

https://www.cve.org/CVERecord?id=CVE-2021-41773

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-41524