【缝隙公告】Apache HTTP Server 6月多个安全缝隙

颁布功夫 2022-06-10

 

0x00 缝隙概述

2022年6月8日，Apache HTTP Server颁布了Apache HTTP Server 2.4.54版本，建复了2.4.53及之前版本中的8个安全缝隙，这些缝隙可能导致回绝服务或信息泄露等。

 

0x01 缝隙详情

Apache HTTP Server是Apache软件基金会的一个盛开源代码的网页服务器，由于其拥有跨平台性和安全性，被宽泛使用，它是最盛行的Web服务器端软件之一。

 Apache HTTP Server本次建复的8个缝隙如下：

CVE-ID

名称

注明

严沉水平

影响领域

CVE-2022-26377

Apache HTTP   Server mod_proxy_ajp要求走私缝隙

Apache HTTP   Server 的 mod_proxy_ajp 中的 HTTP 要求走私缝隙允许将要求走私到它转发要求的 AJP 服务器。

中危

<=2.4.53

CVE-2022-28330

Apache HTTP   Server mod_isapi越界读取缝隙

在Windows上的Apache HTTP Server  <=   2.4.53中，当配置为用mod_isapi�？榇χ靡笫�，可能导致越界读取。

低危

<=2.4.53

CVE-2022-28614

Apache HTTP   Server ap_rwrite() 越界读取缝隙

若是能够使用 ap_rwrite() 或 ap_rputs()（例如 mod_luas r:puts() 函数）使服务器反映极度大的输入，则可能导致越界读取。

低危

<=2.4.53

CVE-2022-28615

Apache HTTP   Server ap_strcmp_match()越界读取缝隙

当提供极度大的输入缓冲区时，可能会由于ap_strcmp_match()中的越界读取而导致崩�；蛐畔⑿孤�。

低危

<=2.4.53

CVE-2022-29404

Apache HTTP   Server mod_lua r:parsebody回绝服务缝隙

Apache HTTP   Server <=2.4.53中，对挪用 r:parsebody(0) 的 lua 剧本的恶意要求可能会由于对输入大幼没有默认限度而导致回绝服务。

低危

<=2.4.53

CVE-2022-30522

Apache HTTP   Server mod_sed 回绝服务

若是Apache HTTP Server 2.4.53被配置为在mod_sed的输入可能极度大的情况下用mod_sed进行转换，mod_sed可能会进行过大的内存分配并导致遏制。

低危

2.4.53

CVE-2022-30556

Apache HTTP   Server信息泄露缝隙

Apache HTTP   Server <=2.4.53中可能会向挪用r:wsread()的利用法式返回长度，该长度指向为缓冲分辨配的存储空间的结尾。

低危

<=2.4.53

CVE-2022-31813

Apache HTTP   Server mod_proxy X-Forwarded-For绕过缝隙

Apache HTTP Server   <=2.4.53中可能不会将X-Forwarded-*头发送到基于客户端Connection头的逐跳机造的源服务器。这可能被用来绕过源服务器/利用法式上基于IP的认证。

低危

<=2.4.53

 

 

0x02 措置建议

目前这些缝隙已经建复，受影响用户能够升级更新到Apache HTTP Server 2.4.54版本。

下载链接：

https://httpd.apache.org/download.cgi

 

0x03 参考链接

https://httpd.apache.org/security/vulnerabilities_24.html

https://www.mail-archive.com/announce@apache.org/msg07360.html

 

0x04 更新版本

版本

日期

批改内容

V1.0

2022-06-10

初次颁布

 

0x05 附录

GA黄金甲简介

GA黄金甲公司成立于1996年，并于2010年6月23日在深交所中幼板正式挂牌上市，是国内极具实力的、占有齐全自主知识产权的网络安全产品、可信安全治理平台、安全服务与解决规划的综合提供商。

公司总部位于北京市中关村软件园，在全国各省、视注自治区设有分支机构，占有覆盖全国的渠路系统和技术支持中心，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心。

多年来，GA黄金甲致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，援手客户全面提升其IT基础设施的安全性和出产效力，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。

 

关于GA黄金甲

GA黄金甲安全应急响应中心重要针对沉要安全缝隙的预警、跟踪和分享全球最新的威胁谍报和安全汇报。

关注以下公家号，获取全球最新安全资讯：

image.png