CVE-2024-39573
ŚrednieStreszczenie
W module mod_rewrite Apache HTTP Server 2.4.59 i wcześniejszych występuje potencjalna podatność SSRF (Server-Side Request Forgery). Atakujący może spowodować, że niebezpieczne reguły RewriteRules nieoczekiwanie ustawią adresy URL do obsługi przez mod_proxy.
Ocena ryzyka
Atakujący może wykorzystać SSRF do uzyskania dostępu do wewnętrznych zasobów sieciowych, które nie są bezpośrednio dostępne z zewnątrz, co może prowadzić do wycieku danych lub dalszych ataków.
Rekomendacja
Zaleca się aktualizację Apache HTTP Server do wersji 2.4.60, która zawiera poprawkę dla tej podatności.
Inne podatności w Apache HTTP Server
Zobacz wszystkie- CVE-2026-63045Wysokie
W module mod_proxy_ftp serwera Apache HTTP Server do wersji 2.4.68 występuje nieprawidłowa walidacja adresu odpowiedzi PASV. W konfiguracji forward proxy niezaufany serwer FTP może poprzez spreparowaną odpowiedź PASV spowodować, że proxy otworzy połączenie danych z dowolnym hostem trzecim.
- CVE-2026-59685Wysokie
W serwerze Apache HTTP Server na systemach Windows, podczas przetwarzania ścieżek z nazwami 8.3, które mogą się rozszerzać, występuje podatność zapisu poza zakresem (out-of-bounds write). Dotyczy wersji od 2.4.0 do 2.4.68.
- CVE-2026-58415Średnie
W module mod_dav_fs serwera Apache HTTP Server przed wersją 2.4.69, wewnętrzne pliki stanu są dostępne dla zewnętrznych podmiotów. Zdalny klient może odczytać martwe właściwości WebDAV zasobów, których nie może modyfikować, wysyłając żądanie GET do katalogu stanu .DAV.
- CVE-2026-56449Wysokie
W module mod_proxy_html serwera Apache HTTP Server od wersji 2.4.0 do 2.4.68 występuje podatność zapisu poza zakresem (out-of-bounds write) przy przetwarzaniu spreparowanych treści odpowiedzi HTTP.
- CVE-2026-56153Wysokie
W module mod_charset_lite serwera Apache HTTP Server od wersji 2.4.0 do 2.4.68 występuje podatność zapisu poza zakresem (out-of-bounds write).
- CVE-2026-48005Wysokie
W module mod_auth_digest serwera Apache HTTP Server przed wersją 2.4.69 brakuje kontroli uwierzytelniania. Nieuwierzytelniony zdalny klient może spowodować odmowę usługi (wymuszone ponowne uwierzytelnienie) poprzez sfałszowane nagłówki Authorization, gdy włączone jest uwierzytelnianie Digest z AuthDigestNcCheck.
- CVE-2026-47360Wysokie
W module mod_session_cookie Apache HTTP Server występuje podatność polegająca na ujawnieniu poufnych informacji nieuprawnionemu podmiotowi. Gdy SessionCookieRemove zmienia się podczas wewnętrznych przekierowań, ciasteczko sesji może być nadal przekazywane do serwera backendowego.
- CVE-2026-46729Wysokie
W module mod_heartmonitor Apache HTTP Server występuje podatność dereferencji wskaźnika NULL przez odbiornik unicast. Problem dotyczy Apache HTTP Server w wersjach od 2.4.0 do 2.4.68.
- CVE-2026-42528Średnie
Błąd w obliczaniu pamięci w mod_dav w Apache httpd 2.4.67 i wcześniejszych pozwala atakującemu z uprawnieniami do tworzenia blokad WebDAV na spowodowanie awarii procesów potomnych serwera. Użytkownikom zaleca się aktualizację do wersji 2.4.69, która naprawia ten problem.
- CVE-2026-42356Niskie
Podatność polegająca na wdrożeniu niewłaściwego handlera w Apache HTTP Server pozwala, aby cel niektórych wewnętrznych przekierowań z programów CGI był również traktowany jako CGI i wykonywany. Cel musi już znajdować się w katalogu z włączonym CGI i nie mieć żadnego innego rozszerzenia rozumianego przez mod_mime. Problem dotyczy Apache HTTP Server w wersjach od 2.4.60 do 2.4.68.
Oryginalny opis (angielski, źródło NVD)
Potential SSRF in mod_rewrite in Apache HTTP Server 2.4.59 and earlier allows an attacker to cause unsafe RewriteRules to unexpectedly setup URL's to be handled by mod_proxy. Users are recommended to upgrade to version 2.4.60, which fixes this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS