【误差通告】Apache HTTP Server 6月多个清静误差

宣布时间 2022-06-10

 

0x00 误差概述

2022年6月8日，，，，Apache HTTP Server宣布了Apache HTTP Server 2.4.54版本，，，，修复了2.4.53及之前版本中的8个清静误差，，，，这些误差可能导致拒绝效劳或信息泄露等。。。。。。 。

 

0x01 误差详情

Apache HTTP Server是Apache软件基金会的一个开放源代码的网页效劳器，，，，由于其具有跨平台性和清静性，，，，被普遍使用，，，，它是最盛行的Web效劳器端软件之一。。。。。。 。

 Apache HTTP Server本次修复的8个误差如下：

CVE-ID

名称

说明

严重水平

影响规模

CVE-2022-26377

Apache HTTP   Server mod_proxy_ajp请求走私误差

Apache HTTP   Server 的 mod_proxy_ajp 中的 HTTP 请求走私误差允许将请求走私到它转发请求的 AJP 效劳器。。。。。。 。

中危

<=2.4.53

CVE-2022-28330

Apache HTTP   Server mod_isapi越界读取误差

在Windows上的Apache HTTP Server  <=   2.4.53中，，，，当设置为用mod_isapi�？？？？？榇χ贸头Ｇ肭笫�，，，，可能导致越界读取。。。。。。 。

低危

<=2.4.53

CVE-2022-28614

Apache HTTP   Server ap_rwrite() 越界读取误差

若是可以使用 ap_rwrite() 或 ap_rputs()（例如 mod_luas r:puts() 函数）使效劳器反应很是大的输入，，，，则可能导致越界读取。。。。。。 。

低危

<=2.4.53

CVE-2022-28615

Apache HTTP   Server ap_strcmp_match()越界读取误差

当提供很是大的输入缓冲区时，，，，可能会由于ap_strcmp_match()中的越界读取而导致瓦解唬�；； ；；蛐畔⑿孤丁！�。。。。 。

低危

<=2.4.53

CVE-2022-29404

Apache HTTP   Server mod_lua r:parsebody拒绝效劳误差

Apache HTTP   Server <=2.4.53中，，，，对调用 r:parsebody(0) 的 lua 剧本的恶意请求可能会由于对输入巨细没有默认限制而导致拒绝效劳。。。。。。 。

低危

<=2.4.53

CVE-2022-30522

Apache HTTP   Server mod_sed 拒绝效劳

若是Apache HTTP Server 2.4.53被设置为在mod_sed的输入可能很是大的情形下用mod_sed举行转换，，，，mod_sed可能会举行过大的内存分派并导致中止。。。。。。 。

低危

2.4.53

CVE-2022-30556

Apache HTTP   Server信息泄露误差

Apache HTTP   Server <=2.4.53中可能会向挪用r:wsread()的应用程序返回长度，，，，该长度指向为缓冲区分派的存储空间的最后。。。。。。 。

低危

<=2.4.53

CVE-2022-31813

Apache HTTP   Server mod_proxy X-Forwarded-For绕过误差

Apache HTTP Server   <=2.4.53中可能不会将X-Forwarded-*头发送到基于客户端Connection头的逐跳机制的源效劳器。。。。。。 。这可能被用来绕过源效劳器/应用程序上基于IP的认证。。。。。。 。

低危

<=2.4.53

 

 

0x02 处置惩罚建议

现在这些误差已经修复，，，，受影响用户可以升级更新到Apache HTTP Server 2.4.54版本。。。。。。 。

下载链接：

https://httpd.apache.org/download.cgi

 

0x03 参考链接

https://httpd.apache.org/security/vulnerabilities_24.html

https://www.mail-archive.com/announce@apache.org/msg07360.html

 

0x04 更新版本

版本

日期

修改内容

V1.0

2022-06-10

首次宣布

 

0x05 附录

鉴黑担保网简介

鉴黑担保网公司建设于1996年，，，，并于2010年6月23日在深交所中小板正式挂牌上市，，，，是海内极具实力的、拥有完全自主知识产权的网络清静产品、可信清静治理平台、清静效劳与解决计划的综合提供商。。。。。。 。

公司总部位于北京市中关村软件园，，，，在天下各省、市、自治区设有分支机构，，，，拥有笼罩天下的渠道系统和手艺支持中心，，，，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心。。。。。。 。

多年来，，，，鉴黑担保网致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳，，，，资助客户周全提升其IT基础设施的清静性和生产效能，，，，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。。。。。。 。

 

关于鉴黑担保网

鉴黑担保网清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告。。。。。。 。

关注以下公众号，，，，获取全球最新清静资讯：

image.png