日前, Apache 软件基金会发布其旗舰 Web 服务器的新版——Apache HTTP Server 2.4.52,该版本被列为紧急版本,为两个记录在案的安全漏洞(CVE-2021-44790 和 CVE-2021-44224)提供保护,其中一个漏洞可能导致远程代码执行攻击。Apache httpd 团队尚未看到该漏洞的利用,但可能只是时间问题。美国网络安全与基础设施安全局 CISA 呼吁开源跨平台 Web 服务器软件的用户“尽快更新”。
Apache 软件基金会的安全公告指出,在 Apache HTTP Server 2.4.51 及更早版本的 mod_lua 中解析多部分内容时可能出现缓冲区溢出 ( CVE-2021-44790 )。该开源小组还记录了 CVE-2021-44224 ,这是 Apache HTTP Server 2.4.51 及更早版本中转发代理配置中的“中等风险”服务器端请求伪造漏洞(NULL取消引用,即SSRF)。
该基金会表示,发送到配置为转发代理(ProxyRequests on)httpd 的 URI 可能导致崩溃(空指针取消引用),或者对于混合转发和反向代理声明的配置,可以允许将请求定向到声明的 Unix 域套接字端点(即服务器端请求伪造)。Apache HTTP Server 中的安全漏洞已在 CISA 维护的“已知被利用漏洞目录”中确定。该机构近期还提醒注意 CVE-2021-40438 ,这是一个已经被广泛利用的服务器端请求伪造漏洞。
文章转载自安全牛