Apache에서 심각한 취약점이 발생하여 HTTP/2 서비스가 원격 코드 실행에 노출될 수 있습니다

오픈 소스 서버 소프트웨어 Apache HTTP Server에서 심각한 보안 취약점이 발견되었습니다. 공격자는 영향을 받는 서비스에 접근할 수 있는 경우, 요청을 구성하여 서버 메모리를 손상시키고, 웹 서비스 프로세스 권한으로 코드를 실행할 수 있습니다. 이 취약점은 HTTP/2 모듈에 위치해 있으며, 공격자는 인증 없이 동시 동기화 결함을 유발하고 힙 메모리 손상을 일으킬 수 있습니다. 성공적으로 이용할 경우 Apache 작업 프로세스 권한으로 코드를 실행하고, 해당 프로세스가 읽을 수 있는 데이터에 접근할 수 있습니다.

영향을 받는 범위는 Apache HTTP Server 2.4.55에서 2.4.70까지이며, GitHub에서 별도로 사용되는 mod_h2 2.0.8에서 2.0.42까지 포함됩니다. 레드햇사는 위험이 HTTP/2를 활성화하는 Protocols 지시어를 사용하는 서버와 관련이 있다고 밝혔습니다. 여기에는 암호화 연결에 사용되는 H2와 평문 연결에 사용되는 H2C가 포함됩니다. 관리자는 전역 구성과 각 가상 호스트 구성을 모두 점검해야 하며, 웹사이트 프론트엔드에 CDN 또는 리버스 프록시가 배포된 경우 Apache 소스 사이트가 HTTP/2를 통해 직접 접근 가능한지 확인해야 합니다.

Apache는 2026년 11월 11일에 HTTP Server 2.4.71을 발표했으며, Apache를 사용하는 웹사이트는 즉시 업그레이드를 권장합니다. 일시적으로 업그레이드할 수 없는 경우 HTTP/2를 임시로 비활성화할 수 있습니다. 문제는 mod_http2의 assign_headers() 함수에 있습니다. HTTP/2는 동일한 연결에서 여러 요청을 동시 처리할 수 있도록 허용하며, 영향을 받는 코드는 공유 자원을 처리할 때 동기화 결함이 있어 힙 메모리 손상을 초래할 수 있습니다. 이 취약점은 Anthropic OSS Scanner 오픈 소스 프로젝트의 스캔 계획과 Google Cloud 취약점 연구 팀에 의해 발견되었으며, Anthropic은 10월 26일 Apache 재단에 보고하였고, 구글 클라우드 팀은 11월 3일 동일한 취약점을 보고했습니다.