CVE-2022-30780 - lighttpd 원격 서비스 거부

설명

Lighttpd 1.4.56부터 1.4.58까지는 원격 공격자가 서비스 거부(연결이 멈춰 CPU 소모)를 일으킬 수 있습니다. 이는 connections.c의 connection_read_header_more 함수에 오타가 있어 큰 헤더에 대한 여러 읽기 작업 사용이 중단되기 때문입니다.

예제

$ python3 lighttpd_cve_2022_30780_checker.py http://172.17.0.2
[!] Target: http://172.17.0.2 Lighttpd version: 1.4.56 Vulnerable: True

익스플로잇

https://github.com/p0dalirius/CVE-2022-30780-lighttpd-denial-of-service

참고 자료

• https://github.com/lighttpd/lighttpd1.4
• https://nvd.nist.gov/vuln/detail/CVE-2022-30780
• https://github.com/p0dalirius/CVE-2022-30780-lighttpd-denial-of-service