SRV-042 (Apache) 웹 서비스 상위 디렉터리 접근 제한 설정 미흡

SRV-042 (Apache) 웹 서비스 상위 디렉터리 접근 제한 설정 미흡

【 상세설명 】
상위 디렉터리로 이동이 가능하면 하위경로에 접속한 후 상위로 이동하여 중요 파일들에 대한 접근이 가능한 위협이 존재하므로 ".." 와 같은 상위 경로를 사용하지 못하도록 적절하게 설정하였는지 점검

【 판단기준 】
- 양호 : Directory Traversal 취약점이 존재하지 않는 경우
- 취약 : Directory Traversal 취약점이 존재하는 웹 서버 버전을 사용하는 경우

【 판단방법 】
1. 웹 서비스 버전 확인
    ※ “CVE-2002-0661”, “CVE-2004-0173” 등의 취약점이 존재하지 않는 버전 : Apache 2.048 보다 높은 버전
    ※ "CVE-2002-0661" 은 2.0.40(2002-08-09), "CVE-2004-0173" 은 2.0.49(2004-03-19) 로 취약점 조치 완료
2. (Apache 2.0.48 이하 버전을 사용하는 경우) 웹 서비스 설정 파일에서 상위 디렉터리 접근 제한 설정 확인

  ■ Linux, AIX, HP-UX, SOLARIS : 웹 서비스 버전 및 웹 서비스 설정 파일에서 각 절 AllowOverride 설정 확인(Apache 2.0.48 이하 버전을 사용하거나 AllowOverride 가 “None” 설정인 경우 “취약”)
      # apachectl -v
      # apache2 -v
      # httpd -v
          Server version: Apache/2.4.57 (Debian)
          Server built:   2023-04-13T03:26:51

      # cat /etc/apache2/httpd.conf
      # cat /etc/apache2/apache2.conf
      # cat /etc/httpd/httpd.conf
      # cat /etc/httpd/conf/httpd.conf
      # cat /<HTTPD_ROOT>/apache2.conf
      # cat /<HTTPD_ROOT>/httpd.conf
      # cat /<HTTPD_ROOT>/conf/httpd.conf
          <Directory />
              AllowOverride None
              Allow from all
          …
          </Directory>
          …

       ※ Apache Web Root 경로 확인(HTTPD_ROOT)
          # apachectl -V | grep "HTTPD_ROOT"
          # apache2 -V | grep "HTTPD_ROOT"
          # httpd -V | grep "HTTPD_ROOT"
              -D HTTPD_ROOT="/etc/apache2"

【 조치방법 】
1.  Apache 버전을 2.0.49 이상 버전으로 업데이트하거나 상위 디렉터리 접근 제한 설정 적용
2. (설정 변경 시) 웹 서비스 재시작

2024-01-13 : (조치과정 삭제)