CVE-2025-66200

Średnie

Opublikowano: —Przetłumaczono: 06/06/2026(UTC)NVD NIST

Streszczenie

Podatność CVE-2025-66200 dotyczy serwera Apache HTTP i polega na obejściu mechanizmu suexec poprzez lukę w AllowOverride FileInfo. Użytkownicy mający dostęp do dyrektywy RequestHeader w pliku htaccess mogą spowodować, że niektóre skrypty CGI będą uruchamiane pod nieoczekiwanym identyfikatorem użytkownika.

Ocena ryzyka

Ta podatność może prowadzić do nieautoryzowanego dostępu do systemu, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji. Możliwość uruchamiania skryptów CGI pod innym identyfikatorem użytkownika może prowadzić do eskalacji uprawnień.

Rekomendacja

Zaleca się aktualizację serwera Apache HTTP do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, należy ograniczyć dostęp do dyrektywy RequestHeader w plikach htaccess tylko do zaufanych użytkowników.

Oryginalny opis (angielski, źródło NVD)

mod_userdir+suexec bypass via AllowOverride FileInfo vulnerability in Apache HTTP Server. Users with access to use the RequestHeader directive in htaccess can cause some CGI scripts to run under an unexpected userid. This issue affects Apache HTTP Server: from 2.4.7 through 2.4.65. Users are recom