optionbleed 취약점으로 아파치 서버 데이터 유출

아파치 웹 서버가 HTTP OPTIONS 요청에 응답하여 민감한 데이터를 유출시킬 수있는 취약점이 Apache HTTP Server에서 발생했다. 

프리랜서 기자이자 보안 연구원인 Hanno Böck은 'Optionbleed'이라는 취약점을 발견했다. Apache HTTP Server(httpd)의 특정 시스템이 HTTP OPTIONS 요청에 

응답하여 잠재적으로 중요한 데이터를 누출시킬 수 있다. 그는 HTTP 메소드를 분석하면서 OPTIONS 메소드를 사용하여 요청이 지원되는 

HTTP 목록 대신 "Allow"헤더를 통해 손상된 데이터를 반환하고 있음을 발견했다. 하트 블록과 같은 메모리 내용이 유출될 수 있다는 점을 고려하면 

익스플로잇 대상 시스템을 구성할 때에는 보안에 유의해야 한다. 연구원이 Alexa Top 1 Million 웹 사이트에서 Optionbleed 결함을 테스트 한 결과 손상된 

헤더만 공격을 허용했다. Apache 개발자 Jacob Champion의 지원으로 Böck은 Optionsbleed 취약점이 특정 구성에만 영향을 미친다는 것을 확인했다. 

또한 연구원은 "Apache는 특정 HTTP 메소드에 대한 액세스를 특정 사용자에게만 허용하는 구성 지시문 제한을 지원한다. 또한 서버에 등록되지 않은 

HTTP 메소드의 .htaccess 파일에 Limit 지시문을 설정하면 손상 및 오류가 발생한다." 고 밝혔다. 만약 고의적으로 .htaccess 파일을 만들면 

이 시스템이 동일한 시스템의 다른 호스트에서 비밀 데이터를 추출할 수 있다고 덧붙였다. 

https://www.bleepingcomputer.com/news/security/optionsbleed-bug-leaks-apache-server-memory/