Apache2
Уязвимости
33
Эксплуатируемые
1
Макс. CVSS
9.8
Макс. EPSS
0.99964
Распределение по критичности
Критический
2
Высокий
14
Средний
16
Низкий
1
Также сопоставлено как (исходные строки): apache2
Топ уязвимостей
CVE-2023-25690Некоторые конфигурации mod_proxy на Apache HTTP Server версий 2.4.0 до 2.4.55 позволяют атаки подделки HTTP-запросов.
Конфигурации затрагиваются, когда модуль mod_proxy включен вместе с какой-либо формой RewriteRule или ProxyPassMatch,
в которой не специфичный шаблон соответствует некоторой части целевого адреса,
предоставленного пользователем (URL), и затем повторно вставляется
в проксируемый целевой адрес с помощью переменной подстановки.
Например, что-то вроде:
RewriteEngine on
RewriteRule "^/here/(.*)" "http://example.com:8080/elsewhere?$1"; [P]
ProxyPassReverse /here/ http://example.com:8080/
Разделение/подделка запросов может привести к обходу контроля доступа
на прокси-сервере, проксированию непредусмотренных URL-адресов к существующим исходным серверам и отравлению кеша. Пользователям рекомендуется обновиться до как минимум версии 2.4.56 Apache HTTP Server.
CVE-2020-11984Apache HTTP server 2.4.32 до 2.4.44 раскрытие информации mod_proxy_uwsgi и возможное RCE.
CVE-2021-42013Было обнаружено, что исправление для CVE-2021-41773 в Apache HTTP Server 2.4.50 было недостаточным. Злоумышленник может использовать атаку обхода пути для сопоставления URL-адресов с файлами за пределами каталогов, настроенных директивами, подобными Alias. Если файлы за пределами этих каталогов не защищены обычной конфигурацией по умолчанию "require all denied", эти запросы могут быть успешными. Если CGI-скрипты также включены для этих псевдонимных путей, это может привести к удаленному выполнению кода. Эта проблема затрагивает только Apache 2.4.49 и Apache 2.4.50, а не более ранние версии.
CVE-2021-26691В Apache HTTP Server версий 2.4.0 - 2.4.46 специально созданный SessionHeader, отправленный сервером-источником, может вызвать переполнение кучи.
CVE-2025-55753Отказ в обслуживании в Apple macOS Tahoe
CVE-2024-42516Уязвимость разделения HTTP-ответа в ядре Apache HTTP Server позволяет злоумышленнику, который может манипулировать заголовками ответов Content-Type приложений, размещенных или проксированных сервером, разделить HTTP-ответ. Эта уязвимость была описана как CVE-2023-38709, но патч, включенный в Apache HTTP Server 2.4.59, не устранил проблему. Пользователям рекомендуется обновиться до версии 2.4.64, которая исправляет эту проблему. Источники:
- [1] https://httpd.apache.org/security/vulnerabilities_24.html
Источники:
- [1] https://httpd.apache.org/security/vulnerabilities_24.html
CVE-2024-40725Частичное исправление для CVE-2024-39884 в ядре Apache HTTP Server 2.4.61 игнорирует некоторое использование устаревшей конфигурации обработчиков на основе content-type. "AddType" и аналогичная конфигурация, при определенных обстоятельствах, когда файлы запрашиваются косвенно, приводят к раскрытию исходного кода локального контента. Например, PHP-скрипты могут быть предоставлены вместо интерпретации.
Пользователям рекомендуется обновиться до версии 2.4.62, в которой эта проблема устранена.
CVE-2023-31122Уязвимость чтения вне границ в mod_macro HTTP-сервера Apache. Эта проблема затрагивает HTTP-сервер Apache: до версии 2.4.57.
CVE-2022-22719Тщательно разработанный текст запроса может привести к чтению случайной области памяти, что может привести к сбою процесса. Эта проблема затрагивает Apache HTTP Server 2.4.52 и более ранние версии.
CVE-2021-41524Во время фаззинга httpd версии 2.4.49 было обнаружено новое разыменование нулевого указателя во время обработки запросов HTTP/2, что позволяет внешнему источнику вызвать DoS сервера. Для этого требуется специально созданный запрос. Уязвимость была недавно внесена в версию 2.4.49. Проекту не известно об эксплойте.
CVE-2021-33193Специально созданный метод, отправленный через HTTP/2, обойдет проверку и будет перенаправлен mod_proxy, что может привести к разделению запросов или отравлению кеша. Эта проблема затрагивает Apache HTTP Server 2.4.17 до 2.4.48.
CVE-2021-31618Обработчик протокола Apache HTTP Server для протокола HTTP/2 проверяет полученные заголовки запроса на соответствие ограничениям размера, настроенным для сервера и используемым также для протокола HTTP/1. В случае нарушения этих ограничений клиенту отправляется HTTP-ответ с кодом состояния, указывающим, почему запрос был отклонен. Этот ответ об отклонении не был полностью инициализирован в обработчике протокола HTTP/2, если оскорбительный заголовок был самым первым полученным или появился в нижнем колонтитуле. Это привело к разыменованию нулевого указателя в инициализированной памяти, что надежно приводило к сбою дочернего процесса. Поскольку такой запускающий HTTP/2-запрос легко создать и отправить, это можно использовать для DoS-атаки на сервер. Эта проблема затронула mod_http2 1.15.17 и только Apache HTTP Server версии 2.4.47. Apache HTTP Server 2.4.47 никогда не выпускался.
CVE-2018-11763В Apache HTTP Server 2.4.17 - 2.4.34, отправляя непрерывные большие кадры SETTINGS, клиент может занимать соединение, поток сервера и время ЦП без какого-либо тайм-аута соединения. Это затрагивает только HTTP/2-соединения. Возможным смягчением является отключение протокола h2.
CVE-2006-20001Тщательно подготовленный заголовок запроса If: может вызвать чтение или запись памяти одного нулевого байта в области памяти (куче) за пределами отправленного значения заголовка. Это может привести к сбою процесса.
Эта проблема затрагивает Apache HTTP Server 2.4.54 и более ранние версии.
CVE-2017-3167В Apache httpd 2.2.x до 2.2.33 и 2.4.x до 2.4.26 использование ap_get_basic_auth_pw() сторонними модулями вне фазы аутентификации может привести к обходу требований аутентификации.
CVE-2021-44224Специально созданный URI, отправленный в httpd, настроенный в качестве прямого прокси (ProxyRequests on), может вызвать сбой (разрешение нулевого указателя) или, для конфигураций, сочетающих прямое и обратное прокси-объявления, может разрешить перенаправление запросов в объявленную конечную точку Unix Domain Socket (Server Side Request Forgery). Эта проблема затрагивает Apache HTTP Server с 2.4.7 по 2.4.51 (включительно).
CVE-2023-38709Ошибочная проверка ввода в ядре Apache позволяет вредоносным или эксплуатируемым генераторам контента/бэкенда разбивать HTTP-ответы.
Эта проблема затрагивает сервер Apache HTTP: до 2.4.58.
CVE-2022-26377Непоследовательная интерпретация HTTP-запросов (контрабанда HTTP-запросов) уязвимость в mod_proxy_ajp Apache HTTP Server позволяет злоумышленнику провозить запросы на AJP-сервер, на который он пересылает запросы. Эта проблема затрагивает Apache HTTP Server Apache HTTP Server 2.4 версии 2.4.53 и более ранние версии.
CVE-2025-54090Ошибка в Apache HTTP Server 2.4.64 приводит к тому, что все тесты 'RewriteCond expr ...' оцениваются как 'true'. Пользователям рекомендуется обновиться до версии 2.4.65, которая исправляет эту проблему. Дополнительный контекст: данная уязвимость может быть использована для манипуляций с конфигурацией сервера, что делает важным своевременное обновление для предотвращения потенциальных атак или неправильной конфигурации сервера. Источник: оригинальное описание уязвимости в базе данных уязвимостей (или соответствующая документация по безопасности).
CVE-2020-1927В Apache HTTP Server с 2.4.0 по 2.4.41 перенаправления, настроенные с помощью mod_rewrite, которые должны были быть самореферентными, могли быть обмануты закодированными новыми строками и вместо этого перенаправлены на неожиданный URL-адрес в URL-адресе запроса.
CVE-2017-9798Apache httpd позволяет удаленным злоумышленникам читать секретные данные из памяти процесса, если директива Limit может быть установлена в файле .htaccess пользователя или если httpd.conf имеет определенные неправильные конфигурации, также известное как Optionsbleed. Это затрагивает Apache HTTP Server до 2.2.34 и 2.4.x до 2.4.27. Злоумышленник отправляет HTTP-запрос OPTIONS без аутентификации при попытке прочитать секретные данные. Это проблема использования после освобождения, поэтому секретные данные отправляются не всегда, и конкретные данные зависят от многих факторов, включая конфигурацию. Эксплуатация с помощью .htaccess может быть заблокирована с помощью исправления функции ap_limit_section в server/core.c.
CVE-2017-15710В Apache httpd 2.0.23 - 2.0.65, 2.2.0 - 2.2.34 и 2.4.0 - 2.4.29 mod_authnz_ldap, если настроен с AuthLDAPCharsetConfig, использует значение заголовка Accept-Language для поиска правильной кодировки символов при проверке учетных данных пользователя. Если значение заголовка отсутствует в таблице преобразования символов, используется механизм резервного копирования, чтобы усечь его до двух символов для быстрой повторной попытки (например, 'en-US' усекается до 'en'). Значение заголовка менее двух символов вызывает запись одного NUL-байта за пределы границ в ячейку памяти, которая не является частью строки. В худшем случае, что маловероятно, процесс завершится сбоем, что можно использовать в качестве атаки типа "отказ в обслуживании". В более вероятном случае эта память уже зарезервирована для будущего использования, и проблема не имеет никакого эффекта.
CVE-2016-1546Apache HTTP Server 2.4.17 и 2.4.18, когда включен mod_http2, не ограничивает количество одновременных рабочих потоков для одного HTTP/2-соединения, что позволяет удаленным злоумышленникам вызывать отказ в обслуживании (отключение обработки потока) через измененные окна управления потоком.
CVE-2016-0736В Apache HTTP Server версий 2.4.0 до 2.4.23 mod_session_crypto шифровал свои данные/cookie с использованием настроенных шифров, возможно, с режимами работы CBC или ECB (AES256-CBC по умолчанию), следовательно, не было выбираемого или встроенного аутентифицированного шифрования. Это сделало его уязвимым для атак padding oracle, особенно с CBC.
CVE-2019-10081Очень ранние push-уведомления HTTP/2 (с 2.4.20 по 2.4.39), например, настроенные с помощью "H2PushResource", могли привести к перезаписи памяти в пуле запроса, отправляющего push-уведомление, что приводило к сбоям. Копируемая память - это значения заголовков настроенной push-ссылки, а не данные, предоставленные клиентом.