리눅스 Apache httpd 보안 취약점 CVE-2017-9788, CVE-2017-9789

7월 11일에 Apache의 보안 취약점 CVE-2017-9788, CVE-2017-9789에 대한 정보와 함께 새로운 버전 Apache httpd 2.4.27이 공개되었습니다. 이번 보안 취약점의 중요도는 중요(Important)입니다. 영향을 받는 버전은 Apache httpd 2.2.33 및 2.4.26 이하의 버전입니다. mod_auth_digest에서의 정보 유출과 서비스 거부(DoS) 가능성에 대한 보안 취약점 CVE-2017-9788과 mod_http2.c에서의 Read after free(Reading of released memory) 가능성에 대한 보안 취약점 CVE-2017-9789입니다.

CVE-2017-9788, CVE-2017-9789 : http://httpd.apache.org/security/vulnerabilities_24.html


<Debian>

데비안에서는 위 보안 취약점과 관련하여 다음과 같이 발표하였습니다.

데비안 9 Stretch (Stable)
 : CVE-2017-9788 에 대하여 apache2 2.4.25-3+deb9u1 는 취약하며, 보안 패치가 아직 없음 (vulnerable)
 : CVE-2017-9789 에 대하여 apache2 2.4.25-3+deb9u1 는 취약하며, 보안 패치가 아직 없음 (vulnerable)

데비안 8 Jessie (OldStable) / 리눅스민트데비안에디션(LMDE) 2 Betsy
 : CVE-2017-9788 에 대하여 apache2 2.4.10-10+deb8u9 는 취약하며, 보안 패치가 아직 없음 (vulnerable)
 : CVE-2017-9789 에 대하여 apache2 2.4.10-10+deb8u9 는 취약하며, 보안 패치가 아직 없음 (vulnerable)

데비안 7 Wheezy
 : CVE-2017-9788 에 대하여 apache2 2.2.22-13+deb7u9 는 보안 패치가 완료됨 (fixed)
 : CVE-2017-9789 에 대하여 apache2 2.2.22-13+deb7u9 는 취약하며, 보안 패치가 아직 없음 (vulnerable)


부분적으로 보안 패치가 완료된 데비안 사용자께서는 터미널에서 다음의 명령어를 통해 보안 업데이트를 하기 바랍니다.
$ sudo apt-get update && sudo apt-get -y dist-upgrade


우분투(리눅스민트 및 하모니카 포함) 사용자에게도 데비안의 발표가 중요한 이유는 우분투가 데비안을 기반으로 하기 때문입니다. 즉, 데비안에서 취약하여 보안 패치가 필요한 부분은 우분투에서도 취약하여 보안 패치가 필요한 부분이 있을 수 있음을 의미합니다.


*위 정보는 우분투 12.04 ESM(Extended Security Maintenance)을 포함하지 않습니다.
*위 정보는 작성자가 주로 사용하는 리눅스 배포판에 대해서만 작성하였습니다. 그 외의 배포판은 알아서 하셔야 합니다.


<참고>
https://oss.sios.com/security/apache-security-vulnerabiltiy-20170714
https://security-tracker.debian.org/tracker/CVE-2017-9789
https://security-tracker.debian.org/tracker/CVE-2017-9788