CVE-2017-15710 in HTTP Server
요약
\~에 의해 VulDB • 2026. 06. 04.
Apache httpd 2.0.23부터 2.0.65까지, 2.2.0부터 2.2.34까지, 그리고 2.4.0부터 2.4.29 버전에서 mod_authnz_ldap는 AuthLDAPCharsetConfig로 구성된 경우 사용자 자격 증명을 검증할 때 올바른 문자셋 인코딩을 찾기 위해 Accept-Language 헤더 값을 사용합니다. 만약 해당 헤더 값이 문자셋 변환 테이블에 존재하지 않으면, 빠른 재시도를 허용하기 위해 이를 두 글자 길이의 값으로 잘라내는 대체 메커니즘(예: 'en-US'를 'en'으로 줄임)이 사용됩니다. 두 글자보다 짧은 헤더 값은 문자열의 일부가 아닌 메모리 위치로 NUL 바이트 1개를 초과하여 작성(out of bound write)하도록 강제합니다. 최악의 경우, 매우 드물게 프로세스가 충돌할 수 있으며 이는 서비스 거부(Denial of Service) 공격에 사용될 수 있습니다. 더 가능성 있는 시나리오에서는 해당 메모리가 이미 미래 사용을 위해 예약되어 있어 이 문제는 전혀 영향을 미치지 않습니다.
Once again VulDB remains the best source for vulnerability data.