已发现 Apache HTTP 服务器中存在多个漏洞。- CVE-2018-17189 F5 Networks 的 Gal Goldshtein 在 mod_http2 中发现了一个拒绝服务漏洞。通过发送格式错误请求，该请求的 http/2 流会在非必要的情况下占用可清除传入数据的服务器线程，进而导致拒绝服务。- CVE-2018-17199 ImExHS 的 Diego Angulo 发现 mod_session_cookie 并未遵守到期时间。- CVE-2019-0196 Craig Young 发现，他人可利用 mod_http2 中的 http/2 请求处理在决定请求方式时访问字符串比较中已释放的内存，进而用不正确的方式处理请求。- CVE-2019-0211 Charles Fol 发现权限提升情况：从权限较低的子子进程变成以 root 权限运行的父进程。- CVE-2019-0217 在线程服务器运行 mod_auth_digest 时，发生了争用条件，使具有有效凭据的用户能够使用另一个用户名进行身份验证，以绕过已配置的访问控制限制。此问题是由 Simon Kappel 所发现。- CVE-2019-0220 Alpha Strike Labs GmbH 的 Bernhard Lorenz 报告，URL 规范化操作不一致。若请求 URL 的路径组件含有多个连续斜线（“/”），则如 LocationMatch 和 RewriteRule 之类的指令必须解释正则表达式中的重复项目，而服务器处理的其他方面则会暗中对其进行折叠。

检测

Debian DSA-4422-1：apache2 - 安全更新

high Nessus 插件 ID 123691

版本 1.8