在 Apache HTTP Server 2.2.6 及 2.2.x 系列更早版本、2.0.61 及 2.0.x 系列更早版本和 1.3.39 及 1.3.x 系列更早版本中，mod_negotiation 模块中的 CRLF 注入漏洞允许经过认证的远程用户通过上传多行名称中包含 HTTP 标头序列和文件扩展名的文件来注入任意 HTTP 标头并执行 HTTP 响应拆分攻击，这导致在对该文件的请求中忽略扩展名时 (1)“406 Not Acceptable”或 (2)“300 Multiple Choices”HTTP 响应中发生注入。

检测

F5 Networks BIG-IP：Apache HTTP 服务器漏洞 (SOL17189)

low Nessus 插件 ID 85697

未找到变更日志