CVE-2025-53020 - Apache httpd HTTP/2 메모리 고갈 PoC

제가 2025년 중반에 발견한 Apache httpd의 HTTP/2 구현에서 메모리 고갈 취약점인 CVE-2025-53020을 시연하는 개념 증명입니다.

📖 심층 분석: galbarnahum.com/posts/apache-httpd-cve-2025-53020

취약점 개요

Apache httpd는 HTTP/2 헤더 처리를 통해 서비스 거부 공격에 취약합니다. 이 취약점은 HTTP/2 요청에서 반복되는 헤더 이름을 처리할 때 불필요한 메모리 중복으로 인해 발생합니다.

공격 메커니즘

1. HPACK 악용: 공격은 먼저 초기 요청을 보내 서버의 HPACK 동적 테이블에 긴 헤더 이름을 채워 넣음으로써 HTTP/2의 HPACK 헤더 압축을 활용합니다.
2. 메모리 증폭: 후속 요청이 이 헤더 이름을 여러 번 참조하지만, 서버는 기존 항목을 재사용하지 않고 각 발생에 대해 새 메모리를 할당합니다.
3. 리소스 고갈: 공격자는 수천 개의 헤더 반복이 포함된 요청 배치를 전송하여 서버 메모리를 빠르게 고갈시킬 수 있습니다.

영향

• 서비스 거부(DoS)
• 서버 메모리 고갈
• 잠재적인 서비스 중단

요구 사항

• Python 3.7+
• h2 - HTTP/2 프로토콜 라이브러리
• tqdm - 공격 시각화를 위한 진행률 표시줄

설치

pip install h2 tqdm

사용법

기본 사용법

python poc.py --url https://target.example.com/

명령줄 인수

예제

HTTPS 대상에 대한 표준 공격:

python poc.py --url https://target.com/api/endpoint

사용자 정의 헤더 설정을 사용한 공격:

python poc.py --url http://localhost:8080/test --header-reps 1000 --batches 200

여러 개의 서로 다른 헤더 이름을 사용한 공격:

python poc.py --url https://target.com --num-headers-to-repeat 3 --header-name-length 3000

배치 간 지연을 추가한 느린 공격:

python poc.py --url https://target.com --delay 0.5 --batches 500

기술 세부 사항

HPACK 인코더 패치

PoC는 h2 라이브러리의 HPACK 인코더가 빈 헤더 값을 올바르게 처리하도록 패치를 포함합니다. 이는 인코더가 빈 문자열 값이 있는 헤더를 잘못 인덱싱하는 버그를 수정합니다(None을 확인하지 않고 ""를 거짓으로 처리).

제약 사항

• 헤더 이름 길이: 최대 4064바이트 (HTTP/2 프레임 제약으로 인해 제한됨)
• 헤더 반복: 요청당 권장 최대 2063회
• 여러 헤더 이름: --num-headers-to-repeat > 1을 사용하는 경우 헤더 이름 길이는 4000 미만이어야 합니다.

영향을 받는 버전

CVE-2025-53020에 취약한 Apache httpd 버전. 특정 버전 정보 및 패치는 공식 Apache 보안 권고를 확인하세요.

면책 조항

⚠️ 이 도구는 교육 및 승인된 보안 테스트 목적으로만 제공됩니다.

• 소유한 시스템이나 명시적인 서면 허가를 받은 시스템에 대해서만 이 도구를 사용하십시오.
• 컴퓨터 시스템에 대한 무단 접근은 불법입니다.
• 저자는 이 도구로 인한 오용이나 손해에 대해 책임을 지지 않습니다.
• 항상 책임 있는 공개 관행을 따르십시오.

라이선스

이 프로젝트는 보안 연구 목적으로 제공됩니다. 책임감 있고 윤리적으로 사용하십시오.