根據其標題，遠端主機上執行的 Apache 版本是比 2.4.48 舊的 2.4.x 版。因此會受到多個弱點影響：

 - 非預期的 <Location> 區段符合 'MergeSlashes OFF' (CVE-2021-30641)

 - mod_auth_digest：驗證 Digest nonce 時，可能因堆疊溢位一個 nul 位元組。（CVE-2020-35452）

 - mod_session：修正因 NULL 指標取消引用可能造成的當機，該問題可能引發惡意後端伺服器與 SessionHeader 的拒絕服務。（CVE-2021-26691）

 - mod_session：修正因 NULL 指標取消參照而可能引發的當機，該指標可能被用來引發拒絕服務（Denial of Service）。（CVE-2021-26690）

 - mod_proxy_http：修正因 NULL 指標取消參照而可能引發的當機，該指標可能被用來引發拒絕服務（Denial of Service）。（CVE-2020-13950）

 - Windows：防止本地使用者停止 httpd 程序（CVE-2020-13938）

 - mod_proxy_wstunnel、mod_proxy_http：處理可升級協議的端到端協商。（CVE-2019-17567）

 - mod_http2：修正潛在的 NULL 指標去參照。（CVE-2021-31618）

請注意，掃描器程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 httpd 版本為早於 2.4.46-2 的版本。因此受到 ALAS2-2021-1672 公告中所提及的一個弱點影響。

  - HTTP/2 通訊協定的 Apache HTTP 伺服器通訊協定處置程式會根據為伺服器設定並用於 HTTP/1 通訊協定的大小限制，檢查所收到的要求標頭。違反這些限制時，系統會將 HTTP 回應傳送至用戶端，並附上指示拒絕要求原因的狀態程式碼。如果違規標頭是第一個收到或出現在頁尾的違規標頭，此拒絕回應就不會在 HTTP/2 通訊協定處置程式中完全初始化。這會導致初始化記憶體上發生 NULL 指標解除參照，進而損毀子處理程序。由於此類觸發 HTTP/2 的要求極易於製作和提交，因此可能遭惡意利用來使伺服器 DoS。此問題只會影響 mod_http2 1.15.17 和 Apache HTTP Server 2.4.47 版本。Apache HTTP Server 2.4.47 未曾發行過。(CVE-2021-31618)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

現已提供適用於 Slackware 14.0、14.1、14.2 和
可修正多個安全性問題。

遠端 Debian 9 主機上安裝的多個套件受到 dla-2706 公告中提及的多個弱點影響。

    在 Apache HTTP 伺服器中發現數個弱點，這些弱點可能導致拒絕服務。此外，MergeSlashes 選項的實作可導致未預期的行為。
    針對 Debian 9 Stretch，已在 2.4.25-3+deb9u10 版本中修正這些問題。我們建議您升級 apache2 套件。有關 apache2 安全性狀態的詳細資訊，請參閱其安全性追蹤頁面：https://security-tracker.debian.org/tracker/apache2 有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機受到 GLSA-202107-38 中所述的弱點影響 (Apache：多個弱點)

    已在 Apache 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    如需詳細資料，請檢閱提及的 CVE 識別碼。
  因應措施：

    目前尚無已知的因應措施。

遠端 Azure Linux 3.0 主機上安裝的 mod_http2 版本比測試版本舊。因此，它會受到 CVE-2021-31618 公告中提及的一個弱點影響。

  - HTTP/2 通訊協定的 Apache HTTP 伺服器通訊協定處置程式會根據為伺服器設定並用於 HTTP/1 通訊協定的大小限制，檢查所收到的要求標頭。違反這些限制時，系統會將 HTTP 回應傳送至用戶端，並附上指示拒絕要求原因的狀態程式碼。如果違規標頭是第一個收到或出現在頁尾的違規標頭，此拒絕回應就不會在 HTTP/2 通訊協定處置程式中完全初始化。這會導致初始化記憶體上發生 NULL 指標解除參照，進而損毀子處理程序。由於此類觸發 HTTP/2 的要求極易於製作和提交，因此可能遭惡意利用來使伺服器 DoS。此問題只會影響 mod_http2 1.15.17 和 Apache HTTP Server 2.4.47 版本。Apache HTTP Server 2.4.47 未曾發行過。(CVE-2021-31618)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 10 主機上安裝的多個套件受到 dsa-4937 公告中提及的多個弱點影響。

  - 在 Apache HTTP Server 2.4.0 到 2.4.46 版中，特製的 Digest nonce 可能會在 mod_auth_digest 中造成堆疊溢位。目前尚無此溢位遭惡意利用的報告，Apache HTTP Server 團隊也無法建立溢位，不過某些特定的編譯器和/或編譯選項可能會造成溢位，但由於溢位的大小 (單一位元組) 和值 (零位元組)，因此所導致的後果有限 (CVE-2020-35452)

  - 在 Apache HTTP Server 2.4.0 到 2.4.46 版中，由 mod_session 處理的特製 Cookie 標頭可能會造成 NULL 指標解除參照和損毀，進而導致可能的拒絕服務 (CVE-2021-26690)

  - 在 Apache HTTP Server 2.4.0 到 2.4.46 版中，由原始伺服器傳送的特製 SessionHeader 可能會造成堆積溢位 (CVE-2021-26691)

  - 在 Apache HTTP Server 2.4.39 到 2.4.46 版中，「MergeSlashes OFF」的意外比對行為 (CVE-2021-30641)

  - HTTP/2 通訊協定的 Apache HTTP 伺服器通訊協定處置程式會根據為伺服器設定並用於 HTTP/1 通訊協定的大小限制，檢查所收到的要求標頭。違反這些限制時，系統會將 HTTP 回應傳送至用戶端，並附上指示拒絕要求原因的狀態程式碼。如果違規標頭是第一個收到或出現在頁尾的違規標頭，此拒絕回應就不會在 HTTP/2 通訊協定處置程式中完全初始化。這會導致初始化記憶體上發生 NULL 指標解除參照，進而損毀子處理程序。由於此類觸發 HTTP/2 的要求極易於製作和提交，因此可能遭惡意利用來使伺服器 DoS。此問題只會影響 mod_http2 1.15.17 和 Apache HTTP Server 2.4.47 版本。Apache HTTP Server 2.4.47 未曾發行過。(CVE-2021-31618)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 httpd 版本為早於 2.4.48-1 的版本。因此，會受到 ALAS2-2021-1659 公告中所提及的多個弱點影響。

  - 在 URL 上設定的 Apache HTTP Server 2.4.6 到 2.4.46 版 mod_proxy_wstunnel (不一定由原始伺服器升級)，無論如何都會使用通道建立整個連線，因此允許同一連線上的後續要求通過，而無需設定 HTTP 驗證、身分驗證或授權。(CVE-2019-17567)

  - Apache HTTP Server 版本 2.4.0 到 2.4.46 無權限的本機使用者可停止 Windows 上的 httpd (CVE-2020-13938)

  - 在 Apache HTTP Server 2.4.41 到 2.4.46 版中，mod_proxy_http 可能因使用同時使用 Content-Length 和 Transfer-Encoding 標頭的特製要求而損毀 (NULL 指標解除參照)，進而導致拒絕服務 (CVE-2020-13950)

  - 在 Apache HTTP Server 2.4.0 到 2.4.46 版中，特製的 Digest nonce 可能會在 mod_auth_digest 中造成堆疊溢位。目前尚無此溢位遭惡意利用的報告，Apache HTTP Server 團隊也無法建立溢位，不過某些特定的編譯器和/或編譯選項可能會造成溢位，但由於溢位的大小 (單一位元組) 和值 (零位元組)，因此所導致的後果有限 (CVE-2020-35452)

  - 在 Apache HTTP Server 2.4.0 到 2.4.46 版中，由 mod_session 處理的特製 Cookie 標頭可能會造成 NULL 指標解除參照和損毀，進而導致可能的拒絕服務 (CVE-2021-26690)

  - 在 Apache HTTP Server 2.4.0 到 2.4.46 版中，由原始伺服器傳送的特製 SessionHeader 可能會造成堆積溢位 (CVE-2021-26691)

  - 在 Apache HTTP Server 2.4.39 到 2.4.46 版中，「MergeSlashes OFF」的意外比對行為 (CVE-2021-30641)

  - HTTP/2 通訊協定的 Apache HTTP 伺服器通訊協定處置程式會根據為伺服器設定並用於 HTTP/1 通訊協定的大小限制，檢查所收到的要求標頭。違反這些限制時，系統會將 HTTP 回應傳送至用戶端，並附上指示拒絕要求原因的狀態程式碼。如果違規標頭是第一個收到或出現在頁尾的違規標頭，此拒絕回應就不會在 HTTP/2 通訊協定處置程式中完全初始化。這會導致初始化記憶體上發生 NULL 指標解除參照，進而損毀子處理程序。由於此類觸發 HTTP/2 的要求極易於製作和提交，因此可能遭惡意利用來使伺服器 DoS。此問題只會影響 mod_http2 1.15.17 和 Apache HTTP Server 2.4.47 版本。Apache HTTP Server 2.4.47 未曾發行過。(CVE-2021-31618)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機上安裝的 Apache httpd 版本早於 2.4.48。因此受到 2.4.48 變更記錄中所提及的一個弱點影響。

  - mod_http2：修正可能的 NULL 指標解除參照 (CVE-2021-31618)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機上安裝的 mod_http2 為 1.15.19-1 之前版本。因此受到 ALAS2-2021-1678 公告中所提及的一個弱點影響。

  - HTTP/2 通訊協定的 Apache HTTP 伺服器通訊協定處置程式會根據為伺服器設定並用於 HTTP/1 通訊協定的大小限制，檢查所收到的要求標頭。違反這些限制時，系統會將 HTTP 回應傳送至用戶端，並附上指示拒絕要求原因的狀態程式碼。如果違規標頭是第一個收到或出現在頁尾的違規標頭，此拒絕回應就不會在 HTTP/2 通訊協定處置程式中完全初始化。這會導致初始化記憶體上發生 NULL 指標解除參照，進而損毀子處理程序。由於此類觸發 HTTP/2 的要求極易於製作和提交，因此可能遭惡意利用來使伺服器 DoS。此問題只會影響 mod_http2 1.15.17 和 Apache HTTP Server 2.4.47 版本。Apache HTTP Server 2.4.47 未曾發行過。(CVE-2021-31618)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
112806	Apache 2.4.x < 2.4.48 多個弱點	Web App Scanning	Component Vulnerability	2021/6/15	2023/3/14	critical
150994	Amazon Linux 2：httpd (ALAS-2021-1672)	Nessus	Amazon Linux Local Security Checks	2021/6/24	2024/12/11	high
150334	Slackware 14.0 / 14.1 / 14.2 / 最新版本：httpd (SSA：2021-158-01)	Nessus	Slackware Local Security Checks	2021/6/8	2021/6/10	critical
151486	Debian DLA-2706-1：apache2 - LTS 安全性更新	Nessus	Debian Local Security Checks	2021/7/9	2025/1/24	critical
156972	GLSA-202107-38：Apache：多個弱點	Nessus	Gentoo Local Security Checks	2022/1/24	2022/1/26	critical
295654	Azure Linux 3.0 安全性更新mod_http2 (CVE-2021-31618)	Nessus	Azure Linux Local Security Checks	2026/1/22	2026/1/22	high
151485	Debian DSA-4937-1：apache2 - 安全性更新	Nessus	Debian Local Security Checks	2021/7/9	2021/9/24	critical
150983	Amazon Linux 2：httpd (ALAS-2021-1659)	Nessus	Amazon Linux Local Security Checks	2021/6/24	2024/12/11	critical
150244	Apache 2.4.x < 2.4.48 弱點	Nessus	Web Servers	2021/6/4	2022/4/11	high
151277	Amazon Linux 2：mod_http2 (ALAS-2021-1678)	Nessus	Amazon Linux Local Security Checks	2021/7/1	2024/12/11	high

偵測

搜尋 Plugin

critical

high

critical

critical

critical

high

critical

critical

high

high