【漏洞通告】Apache HTTP Server 6月多个宁静漏洞

宣布时间 2022-06-10

 

0x00 漏洞概述

2022年6月8日，Apache HTTP Server宣布了Apache HTTP Server 2.4.54版本，修复了2.4.53及之前版本中的8个宁静漏洞，这些漏洞可能导致拒绝服务或信息泄露等。

 

0x01 漏洞详情

Apache HTTP Server是Apache软件基金会的一个开放源代码的网页服务器，由于其具有跨平台性和宁静性，被广泛使用，它是最流行的Web服务器端软件之一。

 Apache HTTP Server本次修复的8个漏洞如下：

CVE-ID

名称

说明

严重水平

影响范围

CVE-2022-26377

Apache HTTP   Server mod_proxy_ajp请求走私漏洞

Apache HTTP   Server 的 mod_proxy_ajp 中的 HTTP 请求走私漏洞允许将请求走私到它转发请求的 AJP 服务器。

中危

<=2.4.53

CVE-2022-28330

Apache HTTP   Server mod_isapi越界读取漏洞

在Windows上的Apache HTTP Server  <=   2.4.53中，当配置为用mod_isapi�？榇χ们肭笫�，可能导致越界读取。

低危

<=2.4.53

CVE-2022-28614

Apache HTTP   Server ap_rwrite() 越界读取漏洞

如果可以使用 ap_rwrite() 或 ap_rputs()（例如 mod_luas r:puts() 函数）使服务器反映非常大的输入，则可能导致越界读取。

低危

<=2.4.53

CVE-2022-28615

Apache HTTP   Server ap_strcmp_match()越界读取漏洞

当提供非常大的输入缓冲区时，可能会由于ap_strcmp_match()中的越界读取而导致崩�；蛐畔⑿孤�。

低危

<=2.4.53

CVE-2022-29404

Apache HTTP   Server mod_lua r:parsebody拒绝服务漏洞

Apache HTTP   Server <=2.4.53中，对换用 r:parsebody(0) 的 lua 脚本的恶意请求可能会由于对输入巨细没有默认限制而导致拒绝服务。

低危

<=2.4.53

CVE-2022-30522

Apache HTTP   Server mod_sed 拒绝服务

如果Apache HTTP Server 2.4.53被配置为在mod_sed的输入可能非常大的情况下用mod_sed进行转换，mod_sed可能会进行过大的内存分配并导致中止。

低危

2.4.53

CVE-2022-30556

Apache HTTP   Server信息泄露漏洞

Apache HTTP   Server <=2.4.53中可能会向调用r:wsread()的应用法式返回长度，该长度指向为缓冲区分配的存储空间的末端。

低危

<=2.4.53

CVE-2022-31813

Apache HTTP   Server mod_proxy X-Forwarded-For绕过漏洞

Apache HTTP Server   <=2.4.53中可能不会将X-Forwarded-*头发送到基于客户端Connection头的逐跳机制的源服务器。这可能被用来绕过源服务器/应用法式上基于IP的认证。

低危

<=2.4.53

 

 

0x02 处置建议

目前这些漏洞已经修复，受影响用户可以升级更新到Apache HTTP Server 2.4.54版本。

下载链接：

https://httpd.apache.org/download.cgi

 

0x03 参考链接

https://httpd.apache.org/security/vulnerabilities_24.html

https://www.mail-archive.com/announce@apache.org/msg07360.html

 

0x04 更新版本

版本

日期

修改内容

V1.0

2022-06-10

首次宣布

 

0x05 附录

抖圈为赌而生简介

抖圈为赌而生公司建立于1996年，并于2010年6月23日在深交所中小板正式挂牌上市，是国内极具实力的、拥有完全自主知识产权的网络宁静产物、可信宁静管理平台、宁静服务与解决方案的综合提供商。

公司总部位于北京市中关村软件园，在全国各省、市、自治区设有分支机构，拥有笼罩全国的渠道体系和技术支持中心，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心。

多年来，抖圈为赌而生致力于提供具有国际竞争力的自主创新的宁静产物和最佳实践服务，资助客户全面提升其IT基础设施的宁静性和生产效能，为打造和提升国际化的民族信息宁静工业领军品牌而不懈努力。

 

关于抖圈为赌而生

抖圈为赌而生宁静应急响应中心主要针对重要宁静漏洞的预警、跟踪和分享全球最新的威胁情报和宁静陈诉。

关注以下公众号，获取全球最新宁静资讯：

image.png