CVE-2024-10306
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W module mod_proxy_cluster wykryto podatność polegającą na nieprawidłowym użyciu dyrektywy <Directory> zamiast <Location>. Dyrektywa <Directory> nie ogranicza dostępu na podstawie adresu IP, co oznacza, że każdy użytkownik mający dostęp do hosta może wysyłać żądania MCMP, umożliwiające dodawanie, usuwanie lub aktualizację węzłów równoważenia obciążenia.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanej modyfikacji konfiguracji klastra przez osoby z dostępem do hosta, co może prowadzić do naruszenia integralności i dostępności usług równoważenia obciążenia.
Rekomendacja
Należy zastąpić dyrektywę <Directory> dyrektywą <Location> w konfiguracji mod_proxy_cluster, aby poprawnie ograniczyć dostęp na podstawie adresu IP. Dodatkowo, upewnij się, że host nie jest dostępny z sieci publicznej.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in mod_proxy_cluster. The issue is that the <Directory> directive should be replaced by the <Location> directive as the former does not restrict IP/host access as `Require ip IP_ADDRESS` would suggest. This means that anyone with access to the host might send MCMP requests that may result in adding/removing/updating nodes for the balancing. However, this host should not be accessible to the public network as it does not serve the general traffic.