해당 결함은 Charles Fol에 의해 발견되었고, 2.4.17에서 2.4.38 사이 모든 아파치 HTTP 서버 버전에 영향을 미친다. 이는 아파치 httpd 2.4.39 배포를 통해 해결되었다.
Changelog에 따르면 “MPM 이벤트, 작업자 또는 prefork 방식을 사용하는 아파치 HTTP 서버 2.4.17부터 2.4.38에서 낮은 권한의 하위 프로세스나 스레드에서 코드 실행이 스코어보드 조작을 통해 부모 프로세스의 권한으로 임의 코드를 실행시킬 수 있다. 유닉스이외 시스템은 영향 받지 않는다”고 설명한다.
CVE-2019-0211취약점은 웹 서버가 공유 호스팅 인스턴스를 실행하는데 심각한 위험을 초래한다.이 시나리오에서는 제한된 권한을 가진 사용자가 취약점을 악용해 아파치 웹 서버에서 스크립트를 사용해 루트 권한을 얻고 명령을 실행할 수 있다. 전문가는 일반적으로 권한이 없는 사용자가 자신의 스크립트를 작성할 수 있는 권한을 얻게 된다고 지적했다.
아파치는 또한 CVE-2019-0217로 추적되는 중요한 보안 제어 우회 취약점을 해결했다.아파치 HTTP 서버 2.4 릴리즈 2.4.38 이전 버전에서는 스레드된 서버에서 실행되는 mod_auth_digest의 race condition(레이스 컨디션)으로 인해, 유효한 자격 증명을 가진 사용자가 접근 제어 제한을 우회하고 다른 사용자 이름을 사용해 인증할 수 있다.
또 다른 취약점은 CVE-2019-0215로 추적되며,아파치 2.4.37, 2.4.38에 영향을 미친다. Changelog는 “아파치 HTTP 서버 2.4 릴리즈 2.4.37과 2.4.38에서 TSLv1.3과 함께 위치별 클라이언트 인증 확인을 사용할 때, mod_ssl 버그로 인해 Post-Handshake를 지원하는 클라이언트가 접근 제어 제한을 우회할 수 있었다”고 언급했다.
아파치 httpd에서 패치된 결함 목록은 이곳에서 확인할 수 있다.
https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2019-0211
-G-Privacy2019 사전등록: http://conf.dailysecu.com/conference/g-privacy/2019.html
▶공공, 금융, 교육, 의료, 기업의 개인정보보호 및 정보보안 실무자만 참석 가능
-참가문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com
★정보보안 대표 미디어 데일리시큐!★
