建站
咨詢
售后
建站咨詢
新聞中心
2021年12月20日，Apache 軟件基金會和 Apache HTTP 服務器項目宣布發(fā)布 Apache HTTP Server 2.4.52版本，以解決幾個可能導致遠程代碼執(zhí)行的安全漏洞。
啟東ssl適用于網站、小程序/APP、API接口等需要進行數據傳輸應用場景，ssl證書未來市場廣闊！成為創(chuàng)新互聯(lián)的ssl證書銷售渠道，可以享受市場價格4-6折優(yōu)惠！如果有意向歡迎電話聯(lián)系或者加微信：13518219792（備注：SSL證書合作）期待與您的合作！
這些漏洞被追蹤為 CVE-2021-44790 和 CVE-2021-44224，可以導致遠程代碼執(zhí)行攻擊。其 CVSS 分數分別為 9.8 和 8.2，排名均低于Log4Shell(CVSS 分數為10分)。
其中，CVE-2021-44790是Apache HTTP Server 2.4.51及以前的mod_lua在解析多部分內容時可能出現(xiàn)的緩沖區(qū)溢出。Apache httpd團隊沒有發(fā)現(xiàn)在野外有利用這個漏洞的攻擊。
"精心設計的請求正文可能會導致 mod_lua 多部分解析器(從 Lua 腳本調用的 r:parsebody())中的緩沖區(qū)溢出。" Apache 發(fā)布的公告寫道。
第二個關鍵漏洞被追蹤為CVE-2021-44224，是 Apache HTTP Server 2.4.51 及更早版本中，轉發(fā)代理配置中可能的 NULL 取消引用或 SSRF。
“發(fā)送到配置為轉發(fā)代理(ProxyRequests on)的 httpd 的精心制作的 URI 可能導致崩潰(空指針取消引用)，或者對于混合前向和反向代理聲明的配置，可以允許將請求定向到聲明的 Unix 域套接字端點(服務器端請求偽造)。”公告顯示。
盡管此嚴重漏洞已被用于任何野外攻擊，但Apache httpd團隊認為它還存在被攻擊者“武器化”的可能。
因此，修補 Apache 網絡服務器中的這兩個漏洞成為其首要任務。
美國網絡安全和基礎設施安全局( CISA)發(fā)出警告， 建議用戶和管理員查看 Apache 公告，并盡快更新他們的版本，以免遭受不必要的潛在攻擊。
11 月，德國聯(lián)邦信息安全辦公室 (BSI) 和思科也曾發(fā)出警告，攻擊者正利用 HTTP 服務器中的另一個服務器端請求偽造 (SSRF) 漏洞，其編號為 CVE-2021-40438。
參考來源：https://securityaffairs.co/wordpress/126077/security/apache-http-server-flaws.html
網站題目：ApacheHTTPServer2.4.52發(fā)布，修復關鍵漏洞
分享網址：http://www.5511xx.com/article/coigdej.html
