【漏洞通告】Apache HTTP Server 6月多個安全漏洞
發布時間 2022-06-10
0x00 漏洞概述
2022年6月8日，Apache HTTP Server發布了Apache HTTP Server 2.4.54版本，修復了2.4.53及之前版本中的8個安全漏洞，這些漏洞可能導致拒絕服務或信息泄露等。
0x01 漏洞詳情
Apache HTTP Server是Apache軟件基金會的一個開放源代碼的網頁服務器，由于其具有跨平臺性和安全性，被廣泛使用，它是最流行的Web服務器端軟件之一。
Apache HTTP Server本次修復的8個漏洞如下：
CVE-ID | 名稱 | 說明 | 嚴重程度 | 影響范圍 |
CVE-2022-26377 | Apache HTTP Server mod_proxy_ajp請求走私漏洞 | Apache HTTP Server 的 mod_proxy_ajp 中的 HTTP 請求走私漏洞允許將請求走私到它轉發請求的 AJP 服務器。 | 中危 | <=2.4.53 |
CVE-2022-28330 | Apache HTTP Server mod_isapi越界讀取漏洞 | 在Windows上的Apache HTTP Server <= 2.4.53中，當配置為用mod_isapi模塊處理請求時，可能導致越界讀取。 | 低危 | <=2.4.53 |
CVE-2022-28614 | Apache HTTP Server ap_rwrite() 越界讀取漏洞 | 如果可以使用 ap_rwrite() 或 ap_rputs()（例如 mod_luas r:puts() 函數）使服務器反映非常大的輸入，則可能導致越界讀取。 | 低危 | <=2.4.53 |
CVE-2022-28615 | Apache HTTP Server ap_strcmp_match()越界讀取漏洞 | 當提供非常大的輸入緩沖區時，可能會由于ap_strcmp_match()中的越界讀取而導致崩潰或信息泄露。 | 低危 | <=2.4.53 |
CVE-2022-29404 | Apache HTTP Server mod_lua r:parsebody拒絕服務漏洞 | Apache HTTP Server <=2.4.53中，對調用 r:parsebody(0) 的 lua 腳本的惡意請求可能會由于對輸入大小沒有默認限制而導致拒絕服務。 | 低危 | <=2.4.53 |
CVE-2022-30522 | Apache HTTP Server mod_sed 拒絕服務 | 如果Apache HTTP Server 2.4.53被配置為在mod_sed的輸入可能非常大的情況下用mod_sed進行轉換，mod_sed可能會進行過大的內存分配并導致中止。 | 低危 | 2.4.53 |
CVE-2022-30556 | Apache HTTP Server信息泄露漏洞 | Apache HTTP Server <=2.4.53中可能會向調用r:wsread()的應用程序返回長度，該長度指向為緩沖區分配的存儲空間的末端。 | 低危 | <=2.4.53 |
CVE-2022-31813 | Apache HTTP Server mod_proxy X-Forwarded-For繞過漏洞 | Apache HTTP Server <=2.4.53中可能不會將X-Forwarded-*頭發送到基于客戶端Connection頭的逐跳機制的源服務器。這可能被用來繞過源服務器/應用程序上基于IP的認證。 | 低危 | <=2.4.53 |
0x02 處置建議
目前這些漏洞已經修復，受影響用戶可以升級更新到Apache HTTP Server 2.4.54版本。
下載鏈接：
https://httpd.apache.org/download.cgi
0x03 參考鏈接
https://httpd.apache.org/security/vulnerabilities_24.html
https://www.mail-archive.com/announce@apache.org/msg07360.html
0x04 更新版本
版本 | 日期 | 修改內容 |
V1.0 | 2022-06-10 | 首次發布 |
0x05 附錄
公司簡介
啟明星辰公司成立于1996年，并于2010年6月23日在深交所中小板正式掛牌上市，是國內極具實力的、擁有完全自主知識產權的網絡安全產品、可信安全管理平臺、安全服務與解決方案的綜合提供商。
公司總部位于北京市中關村軟件園，在全國各省、市、自治區設有分支機構，擁有覆蓋全國的渠道體系和技術支持中心，并在北京、上海、成都、廣州、長沙、杭州等多地設有研發中心。
多年來，啟明星辰致力于提供具有國際競爭力的自主創新的安全產品和最佳實踐服務，幫助客戶全面提升其IT基礎設施的安全性和生產效能，為打造和提升國際化的民族信息安全產業領軍品牌而不懈努力。
關于我們
啟明星辰安全應急響應中心主要針對重要安全漏洞的預警、跟蹤和分享全球最新的威脅情報和安全報告。
關注以下公眾號，獲取全球最新安全資訊：
京公網安備11010802024551號