Oracle HTTP Server (2025 年 7 月 CPU)

high Nessus Plugin ID 242272

語言:

概要

遠端主機受到多個弱點影響

說明

遠端主機上安裝的 HTTP Server 版本受到 2025 年 7 月 CPU 公告中所提及的多個弱點影響。

- 在 2.13.8 之前的 libxml2 和 2.14.2 之前的 2.14.x 中，xmlschemas.c 中的 xmlSchemaIDCFillNodeTables 存在堆積型緩衝區讀取不足弱點。若要利用此弱點，必須針對具有特定身分限制的 XML 結構描述驗證特製的 XML 文件，或者必須使用特製的 XML 結構描述。(CVE-2025-32415)

- Apache HTTP Server 的多個模組包含 HTTP 回應分割弱點，攻擊者可藉此將惡意回應標頭插入後端應用程式，進而造成 HTTP 非同步攻擊。建議使用者升級至已修正此問題 2.4.59 版。(CVE-2024-24795)

- Windows 上 Apache HTTP Server 中的 SSRF 可能允許透過 SSRF 和惡意要求或內容將 NTLM 雜湊洩漏給惡意伺服器建議使用者升級至 2.4.60 版其可修正此問題。注意：存取 UNC 路徑的現有組態必須將新的指示詞 UNCList 設定為在要求處理期間允許存取。(CVE-2024-38472)

- 在 Apache HTTP Server 2.4.59 和更舊版本中，mod_proxy 中存在 NULL 指標解除參照問題。此弱點可讓攻擊者透過惡意要求造成伺服器當機。建議使用者升級至已修正此問題 2.4.60 版。(CVE-2024-38477)

- Apache HTTP Server 2.4.60 核心中的回歸會忽略處置程式的舊版內容類型型配置的部分使用情況。在間接要求檔案的某些情況下，AddType 和類似設定會導致本機內容的原始程式碼洩漏。例如，可能會提供而非解譯 PHP 指令碼。建議使用者升級至已修正此問題 2.4.61 版。
(CVE-2024-39884)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。