【漏洞通告】Apache HTTP Server 6月多个安全漏洞
发布时间 2022-06-10
0x00 漏洞概述
2022年6月8日，Apache HTTP Server发布了Apache HTTP Server 2.4.54版本，修复了2.4.53及之前版本中的8个安全漏洞，这些漏洞可能导致拒绝服务或信息泄露等。
0x01 漏洞详情
Apache HTTP Server是Apache软件基金会的一个开放源代码的网页服务器，由于其具有跨平台性和安全性，被广泛使用，它是最流行的Web服务器端软件之一。
Apache HTTP Server本次修复的8个漏洞如下：
CVE-ID | 名称 | 说明 | 严重程度 | 影响范围 |
CVE-2022-26377 | Apache HTTP Server mod_proxy_ajp请求走私漏洞 | Apache HTTP Server 的 mod_proxy_ajp 中的 HTTP 请求走私漏洞允许将请求走私到它转发请求的 AJP 服务器。 | 中危 | <=2.4.53 |
CVE-2022-28330 | Apache HTTP Server mod_isapi越界读取漏洞 | 在Windows上的Apache HTTP Server <= 2.4.53中，当配置为用mod_isapi模块处理请求时，可能导致越界读取。 | 低危 | <=2.4.53 |
CVE-2022-28614 | Apache HTTP Server ap_rwrite() 越界读取漏洞 | 如果可以使用 ap_rwrite() 或 ap_rputs()（例如 mod_luas r:puts() 函数）使服务器反映非常大的输入，则可能导致越界读取。 | 低危 | <=2.4.53 |
CVE-2022-28615 | Apache HTTP Server ap_strcmp_match()越界读取漏洞 | 当提供非常大的输入缓冲区时，可能会由于ap_strcmp_match()中的越界读取而导致崩溃或信息泄露。 | 低危 | <=2.4.53 |
CVE-2022-29404 | Apache HTTP Server mod_lua r:parsebody拒绝服务漏洞 | Apache HTTP Server <=2.4.53中，对调用 r:parsebody(0) 的 lua 脚本的恶意请求可能会由于对输入大小没有默认限制而导致拒绝服务。 | 低危 | <=2.4.53 |
CVE-2022-30522 | Apache HTTP Server mod_sed 拒绝服务 | 如果Apache HTTP Server 2.4.53被配置为在mod_sed的输入可能非常大的情况下用mod_sed进行转换，mod_sed可能会进行过大的内存分配并导致中止。 | 低危 | 2.4.53 |
CVE-2022-30556 | Apache HTTP Server信息泄露漏洞 | Apache HTTP Server <=2.4.53中可能会向调用r:wsread()的应用程序返回长度，该长度指向为缓冲区分配的存储空间的末端。 | 低危 | <=2.4.53 |
CVE-2022-31813 | Apache HTTP Server mod_proxy X-Forwarded-For绕过漏洞 | Apache HTTP Server <=2.4.53中可能不会将X-Forwarded-*头发送到基于客户端Connection头的逐跳机制的源服务器。这可能被用来绕过源服务器/应用程序上基于IP的认证。 | 低危 | <=2.4.53 |
0x02 处置建议
目前这些漏洞已经修复，受影响用户可以升级更新到Apache HTTP Server 2.4.54版本。
下载链接：
https://httpd.apache.org/download.cgi
0x03 参考链接
https://httpd.apache.org/security/vulnerabilities_24.html
https://www.mail-archive.com/announce@apache.org/msg07360.html
0x04 更新版本
版本 | 日期 | 修改内容 |
V1.0 | 2022-06-10 | 首次发布 |
0x05 附录
公司简介
启明星辰公司成立于1996年，并于2010年6月23日在深交所中小板正式挂牌上市，是国内极具实力的、拥有完全自主知识产权的网络安全产品、可信安全管理平台、安全服务与解决方案的综合提供商。
公司总部位于北京市中关村软件园，在全国各省、市、自治区设有分支机构，拥有覆盖全国的渠道体系和技术支持中心，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心。
多年来，启明星辰致力于提供具有国际竞争力的自主创新的安全产品和最佳实践服务，帮助客户全面提升其IT基础设施的安全性和生产效能，为打造和提升国际化的民族信息安全产业领军品牌而不懈努力。
关于我们
启明星辰安全应急响应中心主要针对重要安全漏洞的预警、跟踪和分享全球最新的威胁情报和安全报告。
关注以下公众号，获取全球最新安全资讯：
京公网安备11010802024551号