Exploit for Path Traversal in Apache Http Server

## https://sploitus.com/exploit?id=EA3E95E5-93C9-52DF-978D-44DD40B00972
# AI 오케스트레이션 기반 CVE 분석 — CVE-2021-41773

> **AI에게 CVE 분석을 시키고, AI가 낸 오류 6건을 전부 잡아내 재발 방지 절차로 바꾼 기록.**

Apache HTTP Server 2.4.49의 경로 정규화 결함(CVE-2021-41773)을 공식 원문만으로 분석하고,
그 과정에서 AI가 만들어낸 오류를 사람이 검증·교정한 전 과정을 Evidence로 남긴 저장소입니다.

**결론보다 검증 과정이 이 저장소의 내용입니다.**

| | |
|---|---|
| 기간 | 2026-08-11 (D1) |
| 대상 | CVE-2021-41773 · Apache HTTP Server 2.4.49 · CWE-22 |
| 도구 | Claude Code (Opus 4.8), manual approval mode |
| 검증 | `D1 Gate = GO (exit 0)` · `tests 34/34` · `validate = GO` |
| 현재 | D1 완료. D2(로컬 Lab 실행) / D3(보고서·재현) 진행 예정 |

---

## 1. 이 실습의 규약

CVE 1건을 **D1(정적 분석) → D2(로컬 관찰) → D3(보고·재현)** 3단계로 진행하는 프레임워크를 사용했습니다.
핵심 규약은 네 가지입니다.

1. **AI 출력은 Evidence가 아니다.** AI는 초안만 제안하고, FACT 확정은 사람이 한다.
2. **실행은 정확한 `GO ` 뒤에만.** "진행해", "알아서 해"는 승인이 아니다.
3. **대상은 loopback으로 제한된다.** `127.0.0.1` / `localhost` / 이 저장소가 만든 격리 Compose Service만.
4. **실패·REJECTED·UNKNOWN은 삭제하지 않는다.** 실패가 다음 사이클의 개선 재료다.

모든 문장은 **FACT / INFERENCE / UNKNOWN** 셋 중 하나로 분류하며,
**관찰 없이 INFERENCE를 FACT로 승격하는 것을 금지**합니다.

판정은 `npm run check -- D1|D2|D3` Gate가 수행하고, 종료 코드는 `GO=0 / REVISE=1 / STOP=2`입니다.

> 원본 프레임워크: [woo4826/security-wave-cve-harness-starter](https://github.com/woo4826/security-wave-cve-harness-starter)
> 이 저장소에는 **제가 작성한 분석 산출물만** 담았습니다. Gate 스크립트·템플릿 등 프레임워크 코드는 원본에 있습니다.

---

## 2. 핵심 — AI가 낸 오류 6건과 교정

D1 한 세션에서 AI가 만들어낸 오류 6건입니다. **전부 사람이 원문 대조로 잡았고**,
각각을 재발 방지 절차로 환산했습니다. 시도 기록은 [`sources/research-log.md`](sources/research-log.md)에 삭제 없이 보존돼 있습니다.

| # | AI가 낸 오류 | 어떻게 잡았나 | 절차로 바꾼 것 |
|---|---|---|---|
| 1 | **존재하지 않는 커밋 해시를 생성** — `eb294fab…` | 원문 Fetch → **HTTP 404** | 공식 raw 경로로 재확인 못 한 값은 `UNKNOWN` 유지 |
| 2 | 금지 도구(`gh` CLI)로 diff 취득 | 도구 정책 대조. 결과도 `+0/-0`으로 부정확했음 | 도구 화이트리스트를 세션 Preflight에 명시 |
| 3 | web search 결과를 Source Ref로 사용 | 출처 등급 대조 | 검색 요약은 공식 출처 대체 불가 |
| 4 | **NVD를 공식 출처로 사용** | 교전 규칙 대조 | **결과: 심각도가 9.8 → 7.5로 바뀜** (아래 §3) |
| 5 | 교정 지시가 화면 문구에만 반영되고 산출물에는 미반영 | `git diff`로 실제 파일 확인 | **"고쳤습니다" 선언은 Evidence가 아니다** |
| 6 | **공식 출처 안에서 잘못된 컨테이너를 인용** — ADP 값을 CNA 값으로 귀속 | JSON 구조를 컨테이너 단위로 재파싱 | Source Ref에 **필드 경로**까지 기재 |

### 6번이 가장 깊은 실패 모드입니다

세 오류의 층위가 다릅니다.

| | 실패 | 잡는 데 필요한 것 |
|---|---|---|
| 4번 | 비공식 출처를 씀 | 출처 목록만 봐도 잡힘 |
| 5번 | 지적했는데 산출물에 그대로 남음 | 파일 **diff**를 봐야 잡힘 |
| **6번** | 공식 출처로 바꿨는데 **그 안의 잘못된 필드**를 인용 | **원문 JSON 구조를 직접 파싱**해야 잡힘 |

"출처가 공식인가"만 검사하는 절차로는 6번을 **원리적으로** 잡을 수 없습니다.
그래서 Source Ref 형식을 `SRC-002 / CVE JSON` 에서
`SRC-002-adp / containers.adp[0].metrics[0].cvssV3_1` 수준으로 바꿨습니다.

---

## 3. 규칙을 지켰더니 값이 실제로 달라졌다

이 저장소에서 가장 검증 가능한 결과입니다.

NVD를 걷어내고 공식 CVE record만 사용하자, **심각도가 하나가 아니라 셋으로 갈렸습니다.**

| 출처 (컨테이너) | 값 | 벡터 |
|---|---|---|
| Apache CNA (`containers.cna`) | `"critical"` (정성, **비CVSS**) | 없음 |
| CISA-ADP (`containers.adp`) | **7.5 HIGH** | `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N` |
| NVD (**불채택**) | 9.8 CRITICAL | `CVSS:3.1/…/C:H/I:H/A:H` |

**세 값의 차이는 오류가 아니라 전제의 차이입니다.**

- `7.5` = `I:N/A:N` → 파일 **읽기 노출**만 상정
- `9.8` = `I:H/A:H` → `mod_cgi` 활성 시 **RCE**까지 상정

따라서 **어느 값이 맞느냐가 아니라, 어떤 서버 구성을 전제했느냐**의 문제입니다.
D2 Lab은 CGI를 비활성화하므로 **7.5 전제와 정합적**이고, 이를 실행 **전에** 문서로 확정했습니다.

> 실행 전에 "우리가 관찰할 것은 파일 노출이지 RCE가 아니다"를 못박아 둔 덕분에,
> D2에서 RCE가 재현되지 않아도 그것이 **실패가 아니라는 근거**가 미리 확보됩니다.

상세: [`analysis/severity-notes.md`](analysis/severity-notes.md)

---

## 4. 기술 분석 요약

### Root Cause (INFERENCE — 관찰 전이므로 FACT 아님)

> 2.4.49의 `ap_normalize_path`는 dot-segment 판정을 리터럴 `.`에 대해서만 수행하고
> `%xx`-unreserved 디코딩된 표현을 같은 판정 범위에 넣지 않았기 때문에,
> 두 번째 점이 `%2e`로 인코딩된 세그먼트가 `..`로 인식되지 않은 채 정규화를 통과했다.

**FACT (공식 svn tag 원문 대조)**

- 2.4.49: dot-segment 검사가 `path[l+1] == '.'` 리터럴만 확인 `[SRC-003a]`
- 2.4.50: 같은 검사에 `%2e`/`%2E` 분기 추가 `[SRC-003b]`

```c
/* 2.4.50 server/util.c — 추가된 분기 */
n = l + 1;
if ((path[n] == '.' || (decode_unreserved && path[n] == '%'
        && path[++n] == '2' && (path[++n] == 'e' || path[n] == 'E')))
    && IS_SLASH_OR_NUL(path[n + 1])) {
    ... l = n + 1; ...
```

### Patch Diff 4지점

| 지점 | 위치 | 내용 |
|---|---|---|
| 입력 | 요청 URI 경로 (공격자 통제) | `.../.%2e/...` — 첫 점은 리터럴, 두 번째는 `%2e` |
| 변환 | `%xx`-unreserved 디코딩 | 검사 시점에는 아직 `%2e` 상태 |
| **검증 (결함)** | dot-segment 제거 `if` | 리터럴만 검사 → `.%2e`를 `..`로 인식 못 함 |
| 영향 | 정규화 후 Alias 해석 | traversal이 Alias 밖으로 매핑 → 파일 노출, CGI 시 RCE |

### 반증 조건 — D2에서 검증할 것

1. 2.4.49에 `%2e` 포함 경로를 보냈는데 Lab marker가 나오지 않으면 반증
2. 2.4.50에 같은 요청이 `200` + marker를 반환하면 반증
3. **`%2e` 없이 리터럴 `../`만으로 2.4.49에서 동일 결과가 재현되면**
   "인코딩 미인식이 핵심 결함"이라는 설명은 **반증되거나 범위가 축소**된다

> 3번이 이 분석의 핵심입니다. 1·2번은 "traversal이 되는가"를 보지만,
> 3번은 "**인코딩 때문에** 되는가"를 분리해서 봅니다.
> 이 조건 때문에 Root Cause를 D3에서도 FACT로 승격하지 않고 INFERENCE로 유지합니다.

상세: [`analysis/root-cause.md`](analysis/root-cause.md) · [`analysis/cwe.md`](analysis/cwe.md)

### 연관 CVE — 무엇을 **의도적으로 안 했는가**

CVE-2021-42013은 "2.4.50의 41773 수정이 불충분"해서 나온 후속 CVE입니다.
CVE record 수준까지만 대조하고 **2.4.50 vs 2.4.51 코드 대조는 수행하지 않았습니다.**

빠뜨린 것이 아니라 의도적 제외이며, 근거 3가지와 함께 문서에 명시했습니다.
**누락과 의도적 제외를 구분해 기록하는 것** 자체가 검토자의 오해를 막는 장치입니다.

상세: [`analysis/related-cve.md`](analysis/related-cve.md)

---

## 5. 프로세스 결함 6건 (B-1 ~ B-6)

AI의 오류와 별개로, **절차 자체의 빈틈**을 6건 발견해 기록했습니다.
상세: [`retrospective/d1-blockers.md`](retrospective/d1-blockers.md)

| ID | 결함 |
|---|---|
| B-1 | 도구 금지 규칙이 산문으로만 존재 — 실행 시점 강제 장치 없음. 한 세션에 3회 위반 |
| B-2 | 세션 시작 질문에 안전 경계(loopback 한정·UNKNOWN 유지·Human GO)가 누락 |
| B-3 | Gate가 빈 intake를 부분적으로만 차단 (`CVE ID:` / `제품:` 만 검사) |
| **B-4** | **커리큘럼 단계 하나가 통째로 건너뛰어졌고 3시간 동안 발견되지 않음** |
| B-5 | Gate 문자열 매칭이 대소문자·콜론까지 정확 일치 요구 — 교정 전 REVISE 13건 |
| B-6 | 산출물이 Gate가 읽지 않는 경로에 생성됨 |

### B-4가 이 실습에서 가장 중요한 발견입니다

Scope·STOP 조건·역할 계약을 작성하는 단계가 **실행되지 않은 채로** 다음 단계로 넘어갔습니다.
안전 경계를 **대화로는 주고받았기 때문에** 사람도 AI도 "했다"고 인식했지만,
실제 `scope.md`는 **8바이트 빈 파일**이었습니다.

Gate 소스를 직접 읽어 요구 조건을 대조하는 과정에서, 세션 시작 약 3시간 뒤에 발견했습니다.

> **결론: AI 코칭은 커리큘럼 단계의 순서를 보장하지 않는다.**
> AI는 자신이 만든 Task 목록을 따라가지, 사람이 설계한 절차를 따라가지 않는다.
> 대화에서 합의한 내용은 **반드시 파일로 착지**시켜야 한다 — "말했다"는 산출물이 아니다.

---

## 6. 검증 방법

### Gate 소스를 먼저 읽고 형식을 맞췄습니다

Gate는 리터럴 문자열을 **대소문자·콜론까지 정확히** 검사합니다.

```js
// scripts/lib/checks.mjs (원본 프레임워크)
requireText(rootCause, "root-cause.md", ["FACT:", "INFERENCE:", "UNKNOWN:", "반증 조건"], issues);

if (line.trim().startsWith("FACT:") && !/\[SRC-\d+\]/.test(line)) {
  issues.push(label + ": FACT requires [SRC-NNN]");
}
```

Gate를 실행하기 **전에** 이 코드를 읽고 산출물과 대조해 **REVISE 13건을 사전 예측**했고,
내용은 그대로 둔 채 형식만 맞춰 전부 해소했습니다.

발견한 미발현 지뢰도 기록했습니다 — `/\[SRC-\d+\]/` 는 `[SRC-003a]`처럼
숫자 뒤에 문자가 붙은 참조를 매칭하지 못합니다. 현재는 FACT 줄이 `- FACT:` 로 시작해
`startsWith("FACT:")` 검사를 타지 않아 통과 중입니다.

### 결과 (선언이 아니라 실제 종료 코드)

```
$ node scripts/check-day.mjs D1
DAY=D1 DECISION=GO
EXIT_CODE=0

$ node scripts/validate-starter.mjs
VALIDATION=GO

$ node --test
# tests 34   # pass 34   # fail 0
```

D2 선행 실행: **Docker 0회 / curl 0회 / Control 실행 0회.** D1은 정적 분석만 수행했습니다.

---

## 7. 산출물 — 읽는 순서

파일 순서가 곧 논리 순서입니다.

| # | 파일 | 역할 |
|---|---|---|
| 1 | [`scope.md`](scope.md) | 무엇을 하기로 했나 — 경계·STOP 조건·승인 계약 |
| 2 | [`intake.md`](intake.md) | 대상 한 장 요약 |
| 3 | [`sources/source-map.md`](sources/source-map.md) | 근거가 어디서 왔나 — 출처 대장 (컨테이너·필드 단위) |
| 4 | [`sources/research-log.md`](sources/research-log.md) | **어떻게 실패했나** — 실패·REJECTED 보존 |
| 5 | [`analysis/root-cause.md`](analysis/root-cause.md) | 왜 취약한가 — 원인 + 반증 조건 |
| 6 | [`analysis/cwe.md`](analysis/cwe.md) | CWE-22 + 대안 후보 + 반증 조건 |
| 7 | [`analysis/severity-notes.md`](analysis/severity-notes.md) | 심각도가 왜 셋으로 갈리는가 |
| 8 | [`analysis/related-cve.md`](analysis/related-cve.md) | CVE-2021-42013 대조 + 의도적 제외 범위 |
| 9 | [`harness/harness-v0.md`](harness/harness-v0.md) | 재사용 절차 + 개선 후보 7건 |
| 10 | [`retrospective/d1-blockers.md`](retrospective/d1-blockers.md) | 프로세스 결함 B-1~B-6 |

> `harness-v0.md`가 참조하는 `harness/workflow.md`·`AGENTS.md`는 원본 프레임워크의 파일입니다.

---

## 8. 다음 단계

| Day | 내용 | 상태 |
|---|---|---|
| **D1** | Source Map · Patch Diff · Root Cause · CWE · Harness v0 | ✅ Gate GO |
| D2 | localhost 격리 Lab (2.4.49 / 2.4.50) → Control Card → **Human GO** → Observation | 예정 |
| D3 | Same-Control Retest · Evidence Review · 보고서 · Harness v1 · clean clone 재현 | 예정 |

D2에서는 위 **반증 조건 3건**을 실제 loopback Lab에서 검증합니다.
Lab은 deny-by-default로 구성하고 CGI를 비활성화하며, 실제 OS 파일 대신 Lab 소유 marker만 노출합니다.

---

## 저작권

이 저장소의 **분석 문서는 제가 작성한 것**입니다.
실습에 사용한 프레임워크(Gate 스크립트, 템플릿, 교전 규칙 문서)는
[원본 저장소](https://github.com/woo4826/security-wave-cve-harness-starter)에 있으며 여기에 포함하지 않았습니다.
Apache HTTP Server 소스 인용은 Apache License 2.0을 따릅니다.