[Apache 2.4] AH02429: Response header name '~~:' contains invalid characters, aborting request

apache를 2.2에서 2.4로 마이그레이션을 진행한 고객사에서 서비스 오픈을 진행 후,

제목과 같은 현상때문에 500 에러가 나온다고 문의가 들어왔다.

일단 여기의 환경은 yum install 로 설치한 httpd 2.4.6 버전이다.

소스가 바뀐거도 없고, WAS가 바뀐거도 없지만 WEB이 변경됐으니 그런거 같아 검색해보니 아래의 문서가 나왔다.

 

https://access.redhat.com/solutions/3006661

 

원인은 다음과 같았다.

• Apache 2.4.6-45.el7_3.4 이상 버전에서는 CVE-2016-8743 보안 취약점 패치로 인해, 이제는 다음과 같은 잘못된 응답 헤더를 허용하지 않음:
  • 헤더 이름에 공백이 포함된 경우 (Document Expires → 잘못된 예, Document-Expires → 올바른 예)
  • 헤더 값에 줄바꿈 문자(\n)나 탭 문자가 포함된 경우

이전 버전에서는 이러한 형식을 허용했으나, 보안 강화를 위해 더 이상 허용되지 않는다.

 

대처로는 헤더 값을 공백이나, 줄바꿈 문자를 사용하지 않아야 해야 하므로, 애플리케이션의 헤더값을 보니 문제가 되는

헤더 이름이 있었다.

 

이 값을 바꿀 것을 말씀드리고 지원 종료하였다.