CVE-2022-30780 - lighttpd 원격 서비스 거부

CVE-2022-30780 - lighttpd 원격 서비스 거부

요약

인증되지 않은 공격자가 최대 URL 길이를 초과하는 URL로 HTTP 요청을 전송하여 서비스 거부를 유발할 수 있습니다.

취약한 버전

다음 lighttpd 버전이 취약합니다:

소프트웨어	버전	취약 여부
Lighttpd	1.4.58	예 ✅
Lighttpd	1.4.57	예 ✅
Lighttpd	1.4.56	예 ✅

사용법

$ ./CVE-2022-30780-lighttpd-denial-of-service.py -h
usage: CVE-2022-30780-lighttpd-denial-of-service.py [-h] [-v] -u URL [-k] [-t THREADS]

CVE-2022-30780-lighttpd-denial-of-service

optional arguments:
  -h, --help            show this help message and exit
  -v, --verbose         Verbose mode
  -u URL, --url URL     URL to connect to.
  -k, --insecure        Allow insecure server connections when using SSL (default: False)
  -t THREADS, --threads THREADS
                        Number of threads (default: 20)

데모

https://user-images.githubusercontent.com/79218792/169104678-62d1c35e-252d-4174-8a1d-3af7e4462ff2.mp4

참고 자료

• https://github.com/lighttpd/lighttpd1.4
• https://podalirius.net/en/cves/2022-30780/
• https://redmine.lighttpd.net/issues/3059