检测

Apache 2.4.49 < 2.4.50 多个漏洞

high Web App Scanning 插件 ID 113014

语言：

简介

Apache 2.4.49 < 2.4.50 多个漏洞

描述

根据其标题，远程主机上运行的 Apache 版本为 2.4.49。因此，该应用程序受到多个漏洞影响：

 - 对 2.4.49 httpd 进行模糊测试时，在处理 HTTP/2 请求的过程中检测到新的空指针取消引用，外部源可利用此漏洞对服务器造成 DoS。这需要使用特别构建的请求。该漏洞最近在版本 2.4.49 中引入。该项目没有发生已知的漏洞利用。(CVE-2021-41524)

 - 在对 Apache HTTP Server 2.4.49 中的路径规范化进行的更改中发现缺陷。攻击者可利用路径遍历攻击，将 URL 映射到预期文档根目录之外的文件。如果文档根目录以外的文件不受要求的保护，则所有已拒绝的请求都可能会成功。此外，此缺陷可泄露已解释文件（如 CGI 脚本）的来源。已知此问题正在通常环境中被利用。此问题仅影响 Apache 2.4.49，而不会影响其之前的版本。(CVE-2021-41773) 请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

解决方案

升级至 Apache 2.4.50 或更高版本。

另见

https://archive.apache.org/dist/httpd/CHANGES_2.4.50

https://httpd.apache.org/security/vulnerabilities_24.html#2.4.50

插件详情

严重性: High

ID: 113014

类型: remote

发布时间: 2021/10/6

最近更新时间: 2023/3/14

扫描模板: basic, full, pci, scan

风险信息

VPR

风险因素: Medium

分数: 6.9

CVSS v2

风险因素: Medium

基本分数: 5

矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P

CVSS 分数来源: CVE-2021-41524

CVSS v3

风险因素: High

基本分数: 7.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

CVSS 分数来源: CVE-2021-41524

漏洞信息

CPE: cpe:2.3:a:apache:http_server:*:*:*:*:*:*:*:*

可利用: true

易利用性: No known exploits are available

补丁发布日期: 2021/10/4

漏洞发布日期: 2021/10/4

CISA 已知可遭利用的漏洞到期日期: 2021/11/17

参考资料信息

CVE: CVE-2021-41524, CVE-2021-41773