Podatności Apache HTTP Server

Apache httpd pozwala zdalnym atakującym na odczytanie tajnych danych z pamięci procesu, jeśli dyrektywa Limit może być ustawiona w pliku .htaccess użytkownika lub jeśli httpd.conf ma określone błędne konfiguracje. Problem ten dotyczy serwera Apache HTTP w wersjach do 2.2.34 oraz 2.4.x do 2.4.27.

Serwer Apache HTTP w wersjach przed 2.2.32 i 2.4.25 akceptował zbyt liberalnie białe znaki w żądaniach oraz w liniach odpowiedzi i nagłówkach. Taka akceptacja różnych zachowań stanowiła zagrożenie bezpieczeństwa, gdy httpd uczestował w łańcuchu proxy lub współpracował z serwerami aplikacyjnymi.

Serwer Apache HTTP w wersjach do 2.4.23 nie chroni aplikacji przed nieufnymi danymi klienta w zmiennej środowiskowej HTTP_PROXY, co może umożliwić zdalnym atakującym przekierowanie ruchu HTTP aplikacji do dowolnego serwera proxy za pomocą spreparowanego nagłówka Proxy w żądaniu HTTP.

Serwer Apache HTTP w wersjach od 2.4.18 do 2.4.20, przy włączonych mod_http2 i mod_ssl, nieprawidłowo rozpoznaje dyrektywę 'SSLVerifyClient require' dla autoryzacji żądań HTTP/2. To pozwala zdalnym atakującym na obejście zamierzonych ograniczeń dostępu.

W Apache HTTP Server, przychodzące nagłówki HTTP/2 przekraczające limit są tymczasowo buforowane w nghttp2 w celu wygenerowania informacyjnej odpowiedzi HTTP 413. Jeśli klient nie przestanie wysyłać nagłówków, prowadzi to do wyczerpania pamięci.

W rdzeniu Apache HTTP Server 2.4.60 wystąpiła regresja, która ignoruje niektóre użycie konfiguracji handlerów opartych na przestarzałym typie treści. "AddType" i podobne konfiguracje, w pewnych okolicznościach, gdy pliki są żądane pośrednio, powodują ujawnienie kodu źródłowego lokalnej treści.

W module mod_rewrite Apache HTTP Server 2.4.59 i wcześniejszych występuje potencjalna podatność SSRF (Server-Side Request Forgery). Atakujący może spowodować, że niebezpieczne reguły RewriteRules nieoczekiwanie ustawią adresy URL do obsługi przez mod_proxy.

W module mod_proxy Apache HTTP Server 2.4.59 i wcześniejszych występuje problem z kodowaniem, który pozwala na wysyłanie żądań URL z nieprawidłowym kodowaniem do usług backendowych. Może to potencjalnie ominąć uwierzytelnianie za pomocą spreparowanych żądań.

W rdzeniu Apache HTTP Server 2.4.59 i wcześniejszych występuje podatność na ujawnienie informacji, SSRF (Server-Side Request Forgery) lub lokalne wykonanie skryptów poprzez aplikacje backendowe, których nagłówki odpowiedzi są złośliwe lub podatne na ataki.

Obsługa uaktualnień protokołu WebSocket przez połączenie HTTP/2 może skutkować dereferencją wskaźnika null, prowadzącą do awarii procesu serwera i degradacji wydajności.

W module mod_proxy Apache HTTP Server 2.4.59 i wcześniejszych występuje dereferencja wskaźnika null, która pozwala atakującemu na spowodowanie awarii serwera za pomocą złośliwego żądania.

Częściowa poprawka dla CVE-2024-39884 w Apache HTTP Server 2.4.61 nie uwzględnia pewnych konfiguracji opartych na typie treści, takich jak AddType. W określonych okolicznościach, gdy pliki są żądane pośrednio, może dojść do ujawnienia kodu źródłowego lokalnej treści.

W rdzeniu Apache HTTP Server do wersji 2.4.58 występuje wadliwa walidacja wejścia, która pozwala złośliwym lub podatnym na ataki backendom lub generatorom treści na dzielenie odpowiedzi HTTP. Może to prowadzić do ataków typu HTTP response splitting.

W wielu modułach Apache HTTP Server występuje podatność na dzielenie odpowiedzi HTTP (HTTP Response Splitting). Atakujący, który może wstrzyknąć złośliwe nagłówki odpowiedzi do aplikacji backendowych, może spowodować atak desynchronizacji HTTP.

W module mod_ssl serwera Apache HTTP Server od wersji 2.4.0 do 2.4.68 występuje nieprawidłowe zarządzanie uprawnieniami w wyrażeniach SSLRequire i związanych z plikami. Może to prowadzić do nieautoryzowanego dostępu.

W module mod_http2 serwera Apache HTTP Server od wersji 2.4.0 do 2.4.68 występuje podatność Use After Free (użycie po zwolnieniu) poprzez współdzielony bufor session->bbtmp i ponowne wejście (re-entrancy).

W module mod_rewrite serwera Apache HTTP Server od wersji 2.4.0 do 2.4.68 występuje podatność Use After Free (użycie po zwolnieniu) podczas korzystania z lookahead (%{LA-U:HTTP:...}).

Dystrybucja Apache Lounge dla systemu Windows Apache HTTP Server zawiera podatność związaną z niebezpiecznymi uprawnieniami katalogu instalacyjnego. Domyślny katalog instalacyjny na C:\ dziedziczy prawa zapisu dla uwierzytelnionych użytkowników.

Podatność nadmiernego przydziału pamięci w module mod_http serwera Apache HTTP Server prowadzi do odmowy usługi poprzez złośliwe żądania HTTP. Dotyczy wersji od 2.4.17 do 2.4.67.

Podatność typu Buffer Underwrite w Apache HTTP Server występująca przy przetwarzaniu spreparowanych wyrażeń regularnych w konfiguracji. Dotyczy wersji od 2.4.0 do 2.4.67.

Problem obsługi ścieżki w module mod_dav_fs w Apache 2.4.67 i wcześniejszych pozwala autorowi treści WebDAV na bezpośrednie manipulowanie zaufanymi bazami danych właściwości DAV, co może prowadzić do awarii procesu potomnego.

Apache HTTP Server w wersjach od 2.4.0 do 2.4.67 zawiera lukę Use After Free w module mod_ldap przy konfiguracji per-directory. Luka może prowadzić do nieokreślonego zachowania.

Podatność przepełnienia bufora sterty w module mod_proxy_ajp serwera Apache HTTP Server. Jeśli mod_proxy_ajp łączy się ze złośliwym serwerem AJP, serwer ten może wysłać złośliwą wiadomość AJP, powodując zapis 4 bajtów kontrolowanych przez atakującego poza koniec bufora sterty.

Podwójne zwolnienie pamięci (double free) w Apache HTTP Server podczas obsługi protokołu HTTP/2 może prowadzić do zdalnego wykonania kodu (RCE). Podatność dotyczy wersji 2.4.66.

Niektóre konfiguracje mod_proxy w Apache HTTP Server w wersjach 2.4.0–2.4.55 umożliwiają atak HTTP Request Smuggling. Problem występuje, gdy mod_proxy działa z RewriteRule lub ProxyPassMatch, gdzie niesprecyzowany wzorzec dopasowuje część adresu URL podanego przez użytkownika i wstawia go do przekierowywanego żądania.

Serwer Apache HTTP w systemie Apple OS X przed wersją 10.12 oraz OS X Server przed wersją 5.2 nie chroni aplikacji przed nieufnymi danymi klienta CGI w zmiennej środowiskowej HTTP_PROXY. Może to umożliwić zdalnym atakującym przekierowanie ruchu HTTP aplikacji do dowolnego serwera proxy za pomocą spreparowanego nagłówka Proxy w żądaniu HTTP.

mod_rewrite w Apache 1.3.12 i wcześniejszych pozwala zdalnym atakującym na odczyt dowolnych plików, jeśli dyrektywa RewriteRule zostanie rozwinięta do nazwy pliku zawierającej wyrażenie regularne.

Domyślna konfiguracja Apache (httpd.conf) w SuSE 6.4 zawiera alias dla katalogu /usr/doc. Atakujący zdalnie może odczytać dokumentację pakietów i uzyskać informacje o konfiguracji systemu poprzez żądanie HTTP do URL /doc/packages.

Apache umożliwia zdalnym atakującym przeprowadzenie ataku typu denial of service poprzez wysłanie dużej liczby nagłówków MIME.

Przepełnienie liczby całkowitej w mod_dav_fs w Apache HTTP Server do wersji 2.4.68 pozwala uwierzytelnionemu klientowi WebDAV z prawem zapisu na zawieszenie procesów roboczych i trwałe uszkodzenie bazy właściwości katalogu poprzez żądania PROPPATCH deklarujące wiele przestrzeni nazw XML.

Podatność równoważności ścieżek '/./' (katalog pojedynczej kropki) w module mod_userdir Apache HTTP Server, gdy skonfigurowano bezwzględną dyrektywę UserDir bez symboli wieloznacznych (druga forma w dokumentacji mod_userdir). Problem dotyczy Apache HTTP Server od wersji 2.4.0 do 2.4.68.

W module mod_auth_digest serwera Apache HTTP Server przed wersją 2.4.69 występuje błąd typu use after free. Nieuwierzytelniony zdalny klient może wywołać uszkodzenie stanu uwierzytelniania poprzez równoczesne żądania uwierzytelniania Digest, gdy włączone jest AuthDigestNcCheck lub ustawiono AuthDigestNonceLifetime na 0.

Obejście uwierzytelniania przez przechwycenie i powtórzenie w mod_auth_digest w Apache HTTP Server 2.4.x na wszystkich platformach pozwala atakującemu typu man-in-the-middle (MITM) na powtórzenie przechwyconych poświadczeń uwierzytelniania digest poprzez spreparowane żądania wywołujące odśmiecanie wpisu pamięci współdzielonej klienta, gdy AuthDigestNonceLifetime jest ustawione na 0.

Niespójna interpretacja żądań HTTP (przemyt żądań/odpowiedzi HTTP) — podatność typu response smuggling w Apache HTTP Server poprzez mod_proxy_uwsgi i spreparowaną odpowiedź uwsgi z nagłówkiem Transfer-Encoding. Problem dotyczy Apache HTTP Server od wersji 2.4.30 do 2.4.68.

Dereferencja wskaźnika NULL w mod_xml2enc w Apache HTTP Server przed 2.4.69 na wszystkich platformach pozwala niezaufanemu serwerowi zaplecza wywołać odmowę usługi poprzez odpowiedź proxy z zestawem znaków, którego konwersja częściowo się powiedzie, a następnie zakończy niepowodzeniem.

Przepełnienie bufora na stosie w mod_vhost_alias w Apache HTTP Server do wersji 2.4.68 na wszystkich platformach pozwala zdalnemu klientowi wywołać odmowę usługi lub potencjalnie wykonać dowolny kod poprzez żądanie HTTP z nagłówkiem Host przekraczającym 8192 bajty, gdy VirtualDocumentRoot używa specyfikatora formatu nazwy hosta, a LimitRequestFieldSize jest podniesione powyżej wartości domyślnej.

W module mod_proxy_ftp serwera Apache HTTP Server do wersji 2.4.68 występuje nieprawidłowa walidacja adresu odpowiedzi PASV. W konfiguracji forward proxy niezaufany serwer FTP może poprzez spreparowaną odpowiedź PASV spowodować, że proxy otworzy połączenie danych z dowolnym hostem trzecim.

W serwerze Apache HTTP Server na systemach Windows, podczas przetwarzania ścieżek z nazwami 8.3, które mogą się rozszerzać, występuje podatność zapisu poza zakresem (out-of-bounds write). Dotyczy wersji od 2.4.0 do 2.4.68.

W module mod_dav_fs serwera Apache HTTP Server przed wersją 2.4.69, wewnętrzne pliki stanu są dostępne dla zewnętrznych podmiotów. Zdalny klient może odczytać martwe właściwości WebDAV zasobów, których nie może modyfikować, wysyłając żądanie GET do katalogu stanu .DAV.

Podatność out-of-bounds write w module mod_proxy_html serwera Apache HTTP Server występuje przy przetwarzaniu spreparowanych treści odpowiedzi HTTP. Problem dotyczy wersji 2.4.68.

W module mod_charset_lite serwera Apache HTTP Server od wersji 2.4.0 do 2.4.68 występuje podatność zapisu poza zakresem (out-of-bounds write).

W module mod_auth_digest serwera Apache HTTP Server przed wersją 2.4.69 brakuje kontroli uwierzytelniania. Nieuwierzytelniony zdalny klient może spowodować odmowę usługi (wymuszone ponowne uwierzytelnienie) poprzez sfałszowane nagłówki Authorization, gdy włączone jest uwierzytelnianie Digest z AuthDigestNcCheck.

W module mod_session_cookie Apache HTTP Server występuje podatność polegająca na ujawnieniu poufnych informacji nieuprawnionemu podmiotowi. Gdy SessionCookieRemove zmienia się podczas wewnętrznych przekierowań, ciasteczko sesji może być nadal przekazywane do serwera backendowego.

W module mod_heartmonitor Apache HTTP Server występuje podatność dereferencji wskaźnika NULL przez odbiornik unicast. Problem dotyczy Apache HTTP Server w wersjach od 2.4.0 do 2.4.68.

Błąd w obliczaniu pamięci w mod_dav w Apache httpd 2.4.67 i wcześniejszych pozwala atakującemu z uprawnieniami do tworzenia blokad WebDAV na spowodowanie awarii procesów potomnych serwera. Użytkownikom zaleca się aktualizację do wersji 2.4.69, która naprawia ten problem.

Podatność polegająca na wdrożeniu niewłaściwego handlera w Apache HTTP Server pozwala, aby cel niektórych wewnętrznych przekierowań z programów CGI był również traktowany jako CGI i wykonywany. Cel musi już znajdować się w katalogu z włączonym CGI i nie mieć żadnego innego rozszerzenia rozumianego przez mod_mime. Problem dotyczy Apache HTTP Server w wersjach od 2.4.60 do 2.4.68.