Apache 2.4.x < 2.4.10 多個弱點

high Nessus Plugin ID 76622

Synopsis

遠端 web 伺服器可能受到多種弱點的影響。

描述

根據其標題,遠端主機上執行的 Apache 2.4.x 版本比 2.4.10 舊。因此,該應用程式受到以下弱點影響:

- 'mod_proxy' 模組中存在一個瑕疵,可允許攻擊者傳送特製要求至設定為反向代理伺服器的伺服器,進而可能造成子處理程序損毀。此缺陷可能導致拒絕服務攻擊。(CVE-2014-0117)

- 當設定要求內文解壓縮時,'mod_deflate' 模組中存在一個瑕疵。遠端攻擊者可利用此缺陷造成伺服器消耗大量資源。(CVE-2014-0118)

- 當有公開可存取的伺服器狀態頁面時,'mod_status' 模組中存在一個瑕疵。
攻擊者可利用此缺陷傳送專為造成堆積緩衝區溢位而設計的特別構建要求。(CVE-2014-0226)

- 'mod_cgid' 模組中存在一個瑕疵,其可操控未消耗標準輸入的 CGI 指令碼,造成子處理程序懸置。遠端攻擊者有可能濫用此瑕疵而造成拒絕服務。
(CVE-2014-0231)

- 使用預設 AcceptFilter 時,2.4.1 至 2.4.9 版本的 WinNT MPM 中存在瑕疵。攻擊者利用特別構建的要求造成應用程式中記憶體洩漏,最終可能導致拒絕服務攻擊。(CVE-2014-3523)

請注意,Nessus 並未測試這些問題,而是僅依據應用程式自我報告的版本號碼。

解決方案

升級至 Apache 2.4.10 或更新版本。此外,請確保受影響的模組目前未處於使用中。

另請參閱

https://archive.apache.org/dist/httpd/CHANGES_2.4.10

http://httpd.apache.org/security/vulnerabilities_24.html

Plugin 詳細資訊

嚴重性: High

ID: 76622

檔案名稱: apache_2_4_10.nasl

版本: 1.21

類型: combined

代理程式: windows, macosx, unix

系列: Web Servers

已發布: 2014/7/21

已更新: 2022/4/11

組態: 啟用徹底檢查

支持的傳感器: Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent

風險資訊

VPR

風險因素: High

分數: 8.4

CVSS v2

風險因素: Medium

基本分數: 6.8

時間分數: 5.3

媒介: AV:N/AC:M/Au:N/C:P/I:P/A:P

時間媒介: E:POC/RL:OF/RC:C

CVSS 評分資料來源: CVE-2014-0226

CVSS v3

風險因素: High

基本分數: 7.3

時間分數: 6.6

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

時間媒介: E:P/RL:O/RC:C

弱點資訊

CPE: cpe:/a:apache:http_server

必要的 KB 項目: installed_sw/Apache

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2014/7/21

弱點發布日期: 2014/7/15

參考資訊

CVE: CVE-2014-0117, CVE-2014-0118, CVE-2014-0226, CVE-2014-0231, CVE-2014-3523

BID: 68678, 68740, 68742, 68745, 68747

EDB-ID: 34133