Oracle Linux 8:httpd:2.4 (ELSA-2022-1915)

high Nessus 插件 ID 161278

简介

远程 Oracle Linux 主机缺少一个或多个安全更新。

描述

远程 Oracle Linux 8 主机上安装的多个程序包受到 ELSA-2022-1915 公告中提及的多个漏洞影响。

- 通过 HTTP/2 发送的构建的方法将绕过验证并被 mod_proxy 转发,这可导致请求拆分或缓存中毒。此问题影响 Apache HTTP Server 2.4.17 至 2.4.48。
(CVE-2021-33193)

- 发送到配置为正向代理(开启“ProxyRequests”) 的 httpd 的特制 URI 可能会造成崩溃(空指针取消引用),或者混合正向和反向代理声明的配置可允许将请求定向到声明的 Unix 域套接字端点(服务器端请求伪造)。此问题会影响 Apache HTTP Server 2.4.7 版至 2.4.51 版(含该版本)。(CVE-2021-44224)

- 在 Apache HTTP Server 版本 2.4.0 到 2.4.46 中,特别构建的摘要 nonce 可导致 mod_auth_digest 中发生堆栈溢出。没有此溢出的报告可被利用,Apache HTTP Server 团队也没有创建报告,尽管一些特定的编译器和/或编译选项可以生成报告,但溢出的大小(单个字节)和值(零字节)造成后果有限 (CVE-2020-35452)

- 精心构建的请求 uri-path 可导致 mod_proxy_uwsgi 读取已分配内存之外的内存并崩溃 (DoS)。此问题影响 Apache HTTP Server 版本 2.4.30 至 2.4.48(含)。(CVE-2021-36160)

请注意,Nessus 尚未测试这些问题,而是只依靠应用程序自我报告的版本号来判断。

解决方案

更新受影响的程序包。

另见

https://linux.oracle.com/errata/ELSA-2022-1915.html

插件详情

严重性: High

ID: 161278

文件名: oraclelinux_ELSA-2022-1915.nasl

版本: 1.3

类型: local

代理: unix

发布时间: 2022/5/18

最近更新时间: 2023/10/27

支持的传感器: Frictionless Assessment Agent, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.0

CVSS v2

风险因素: Medium

基本分数: 6.8

时间分数: 5.3

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS 分数来源: CVE-2020-35452

CVSS v3

风险因素: High

基本分数: 8.2

时间分数: 7.4

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H

时间矢量: CVSS:3.0/E:P/RL:O/RC:C

CVSS 分数来源: CVE-2021-44224

漏洞信息

CPE: cpe:/o:oracle:linux:8, p-cpe:/a:oracle:linux:httpd, p-cpe:/a:oracle:linux:httpd-devel, p-cpe:/a:oracle:linux:httpd-filesystem, p-cpe:/a:oracle:linux:httpd-manual, p-cpe:/a:oracle:linux:httpd-tools, p-cpe:/a:oracle:linux:mod_http2, p-cpe:/a:oracle:linux:mod_ldap, p-cpe:/a:oracle:linux:mod_md, p-cpe:/a:oracle:linux:mod_proxy_html, p-cpe:/a:oracle:linux:mod_session, p-cpe:/a:oracle:linux:mod_ssl

必需的 KB 项: Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list, Host/local_checks_enabled

可利用: true

易利用性: Exploits are available

补丁发布日期: 2022/5/17

漏洞发布日期: 2021/6/3

参考资料信息

CVE: CVE-2020-35452, CVE-2021-33193, CVE-2021-36160, CVE-2021-44224