Apache 2.2.x < 2.2.34 多个漏洞

critical Nessus 插件 ID 101787

语言：

简介

远程 Web 服务器受到多个漏洞影响。

描述

根据其标题，远程主机上运行的 Apache 版本为低于 2.2.34 的 2.2.x。因而会受到以下漏洞的影响：- 由于验证阶段外使用 ap_get_basic_auth_pw() 函数的第三方模块，httpd 中存在验证绕过漏洞。未经身份验证的远程攻击者可利用此漏洞绕过验证要求。(CVE-2017-3167) - httpd 中存在拒绝服务漏洞，这是由于空指针取消引用缺陷所致，其会在第三方模块对 HTTPS 端口提出 HTTP 请求期间，调用 mod_ssl ap_hook_process_connection() 函数时遭到触发。未经身份验证的远程攻击者可利用此缺陷造成拒绝服务情况。(CVE-2017-3169) - httpd 中存在拒绝服务漏洞，这是由于 ap_find_token() 函数中的越界读取错误所致，其会在处理特制的请求标头序列时遭到触发。未经身份验证的远程攻击者可利用此问题，造成服务崩溃，或强制 ap_find_token() 返回错误值。(CVE-2017-7668) - httpd 中存在拒绝服务漏洞，这是由于 mod_mime 中的越界读取错误所致，其会在处理特制的 Content-Type 响应标头时遭到触发。未经身份验证的远程攻击者可利用此问题，泄露敏感信息或造成拒绝服务情况。(CVE-2017-7679) - httpd 中存在拒绝服务漏洞，这是由于 mod_auth_digest 未能在连续赋值 key = value 之前或期间，初始化或重置“Digest”类型的 [Proxy-] Authorization 标头中的值占位符所致。未经身份验证的远程攻击者可利用此问题，通过提供不具有 '=' 赋值的初始密钥，泄露敏感信息或造成拒绝服务情况。(CVE-2017-9788) 请注意，Nessus 并未针对这些问题进行测试，而仅依赖应用程序自我报告的版本号。