Apache 2.4.x < 2.4.16 多个漏洞

high Web App Scanning 插件 ID 98908

语言：

简介

描述

根据其标题，远程主机上安装的 Apache 2.4.x 版本低于 2.4.16。因此，该应用程序受到以下漏洞的影响：

- 由于未正确处理 WebSocket PING 帧，在“mod_lua”模块的 lua_websocket_read() 函数中存在缺陷。远程攻击者可利用此缺陷，在 Lua 脚本调用 wsupgrade() 函数后发送一个构建的 WebSocket PING 帧以造成子进程崩溃，从而导致拒绝服务。(CVE-2015-0228)

由于未能初始化协议结构成员而导致 read_request_line() 函数中存在空指针取消引用缺陷。远程攻击者可利用此缺陷，在启用 INCLUDES 过滤器且包含指定本地 URI 的 ErrorDocument 400 指令的安装下发送缺少方法的请求，以造成拒绝服务。(CVE-2015-0253)

- 由于未能正确解析区块标头，分块传输编码实现中存在一个缺陷。远程攻击者可利用此缺陷进行 HTTP 请求走私攻击。(CVE-2015-3183)

- 由于未考虑 Require 指令可能与授权设置而非验证设置有关，因此，ap_some_auth_required() 函数中存在一个缺陷。如果存在依赖 2.2 API 行为的模块，远程攻击者可以利用此缺陷绕过预期访问限制。(CVE-2015-3185)

- 由于密钥流生成中的初始双字节偏差，RC4 算法中存在一个缺陷。攻击者可利用此缺陷，通过将先验明文发行版本和密钥流发行版本统计数据相结合的 Bayesian 分析，执行密码文本的明文恢复。请注意，根据 RFC 7465 的要求，RC4 加密套件已禁止。Apache 版本 2.4.13 中已修复此问题，但 2.4.13、2.4.14 和 2.4.15 从未公开发行。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。