Podatności Apache HTTP Server

Apache httpd pozwala zdalnym atakującym na odczytanie tajnych danych z pamięci procesu, jeśli dyrektywa Limit może być ustawiona w pliku .htaccess użytkownika lub jeśli httpd.conf ma określone błędne konfiguracje. Problem ten dotyczy serwera Apache HTTP w wersjach do 2.2.34 oraz 2.4.x do 2.4.27.

Serwer Apache HTTP w wersjach przed 2.2.32 i 2.4.25 akceptował zbyt liberalnie białe znaki w żądaniach oraz w liniach odpowiedzi i nagłówkach. Taka akceptacja różnych zachowań stanowiła zagrożenie bezpieczeństwa, gdy httpd uczestował w łańcuchu proxy lub współpracował z serwerami aplikacyjnymi.

Serwer Apache HTTP w wersjach do 2.4.23 nie chroni aplikacji przed nieufnymi danymi klienta w zmiennej środowiskowej HTTP_PROXY, co może umożliwić zdalnym atakującym przekierowanie ruchu HTTP aplikacji do dowolnego serwera proxy za pomocą spreparowanego nagłówka Proxy w żądaniu HTTP.

Serwer Apache HTTP w wersjach od 2.4.18 do 2.4.20, przy włączonych mod_http2 i mod_ssl, nieprawidłowo rozpoznaje dyrektywę 'SSLVerifyClient require' dla autoryzacji żądań HTTP/2. To pozwala zdalnym atakującym na obejście zamierzonych ograniczeń dostępu.

W module mod_proxy Apache HTTP Server 2.4.59 i wcześniejszych występuje problem z kodowaniem, który pozwala na wysyłanie żądań URL z nieprawidłowym kodowaniem do usług backendowych. Może to potencjalnie ominąć uwierzytelnianie za pomocą spreparowanych żądań.

W rdzeniu Apache HTTP Server 2.4.60 wystąpiła regresja, która ignoruje niektóre użycie konfiguracji handlerów opartych na przestarzałym typie treści. "AddType" i podobne konfiguracje, w pewnych okolicznościach, gdy pliki są żądane pośrednio, powodują ujawnienie kodu źródłowego lokalnej treści.

W wielu modułach Apache HTTP Server występuje podatność na dzielenie odpowiedzi HTTP (HTTP Response Splitting). Atakujący, który może wstrzyknąć złośliwe nagłówki odpowiedzi do aplikacji backendowych, może spowodować atak desynchronizacji HTTP.

W Apache HTTP Server, przychodzące nagłówki HTTP/2 przekraczające limit są tymczasowo buforowane w nghttp2 w celu wygenerowania informacyjnej odpowiedzi HTTP 413. Jeśli klient nie przestanie wysyłać nagłówków, prowadzi to do wyczerpania pamięci.

W rdzeniu Apache HTTP Server 2.4.59 i wcześniejszych występuje podatność na ujawnienie informacji, SSRF (Server-Side Request Forgery) lub lokalne wykonanie skryptów poprzez aplikacje backendowe, których nagłówki odpowiedzi są złośliwe lub podatne na ataki.

W module mod_rewrite Apache HTTP Server 2.4.59 i wcześniejszych występuje potencjalna podatność SSRF (Server-Side Request Forgery). Atakujący może spowodować, że niebezpieczne reguły RewriteRules nieoczekiwanie ustawią adresy URL do obsługi przez mod_proxy.

Obsługa uaktualnień protokołu WebSocket przez połączenie HTTP/2 może skutkować dereferencją wskaźnika null, prowadzącą do awarii procesu serwera i degradacji wydajności.

W module mod_proxy Apache HTTP Server 2.4.59 i wcześniejszych występuje dereferencja wskaźnika null, która pozwala atakującemu na spowodowanie awarii serwera za pomocą złośliwego żądania.

Częściowa poprawka dla CVE-2024-39884 w Apache HTTP Server 2.4.61 nie uwzględnia pewnych konfiguracji opartych na typie treści, takich jak AddType. W określonych okolicznościach, gdy pliki są żądane pośrednio, może dojść do ujawnienia kodu źródłowego lokalnej treści.

W module mod_rewrite serwera Apache HTTP Server 2.4.59 i wcześniejszych występuje problem z nieprawidłowym kodowaniem wyjścia. Umożliwia to atakującemu mapowanie adresów URL na lokalizacje w systemie plików, które serwer może obsługiwać, ale nie są bezpośrednio osiągalne przez żaden URL, co prowadzi do wykonania kodu lub ujawnienia kodu źródłowego.

W rdzeniu Apache HTTP Server do wersji 2.4.58 występuje wadliwa walidacja wejścia, która pozwala złośliwym lub podatnym na ataki backendom lub generatorom treści na dzielenie odpowiedzi HTTP. Może to prowadzić do ataków typu HTTP response splitting.

Podatność nadmiernego przydziału pamięci w module mod_http serwera Apache HTTP Server prowadzi do odmowy usługi poprzez złośliwe żądania HTTP. Dotyczy wersji od 2.4.17 do 2.4.67.

Podatność typu Buffer Underwrite w Apache HTTP Server występująca przy przetwarzaniu spreparowanych wyrażeń regularnych w konfiguracji. Dotyczy wersji od 2.4.0 do 2.4.67.

Problem obsługi ścieżki w module mod_dav_fs w Apache 2.4.67 i wcześniejszych pozwala autorowi treści WebDAV na bezpośrednie manipulowanie zaufanymi bazami danych właściwości DAV, co może prowadzić do awarii procesu potomnego.

Apache HTTP Server w wersjach od 2.4.0 do 2.4.67 zawiera lukę Use After Free w module mod_ldap przy konfiguracji per-directory. Luka może prowadzić do nieokreślonego zachowania.

Podatność przepełnienia bufora sterty w module mod_proxy_ajp serwera Apache HTTP Server. Jeśli mod_proxy_ajp łączy się ze złośliwym serwerem AJP, serwer ten może wysłać złośliwą wiadomość AJP, powodując zapis 4 bajtów kontrolowanych przez atakującego poza koniec bufora sterty.

Podwójne zwolnienie pamięci (double free) w Apache HTTP Server podczas obsługi protokołu HTTP/2 może prowadzić do zdalnego wykonania kodu (RCE). Podatność dotyczy wersji 2.4.66.

Serwer Apache HTTP w systemie Apple OS X przed wersją 10.12 oraz OS X Server przed wersją 5.2 nie chroni aplikacji przed nieufnymi danymi klienta CGI w zmiennej środowiskowej HTTP_PROXY. Może to umożliwić zdalnym atakującym przekierowanie ruchu HTTP aplikacji do dowolnego serwera proxy za pomocą spreparowanego nagłówka Proxy w żądaniu HTTP.

Apache umożliwia zdalnym atakującym przeprowadzenie ataku typu denial of service poprzez wysłanie dużej liczby nagłówków MIME.

Podatność w Apache HTTP Server powoduje wyciek bufora dla żądań z ciałem, gdy odczytanie ciała może zakończyć się odczytaniem 0 bajtów. Dotyczy to szczególnie żądań z nagłówkiem 100-Continue, ale także każdego żądania przy wolnym połączeniu sieciowym.

Poprawka dla CVE-2026-2443 została cofnięta przez późniejszy commit, który zastąpił konkretne kontrole przepełnienia ogólnym porównaniem ze znakiem. Gdy klient wysyła żądanie Range z długością sufiksu przekraczającą rozmiar treści, wynikowa ujemna wartość początkowa nie jest odpowiednio ograniczana, co prowadzi do nieprawidłowych odpowiedzi HTTP 206 i zalewania logów.

Podatność Use After Free w module mod_http2 Apache HTTP Server w wersjach 2.4.55-2.4.67. Występuje po wyczerpaniu deskryptorów plików.

Podatność nieskończonej pętli w module mod_proxy_ftp w Apache HTTP Server od wersji 2.4.0 do 2.4.67, gdy atakujący kontroluje zdalny serwer FTP. Użytkownicy powinni zaktualizować do wersji 2.4.68, która rozwiązuje problem.

Podatność Buffer Over-read w Apache HTTP Server występuje podczas wysyłania żądań OCSP do kontrolowanego przez atakującego serwera OCSP. Problem dotyczy wersji od 2.4.0 do 2.4.67.

Apache HTTP Server w wersji 2.4.67 i wcześniejszych ma podatność związaną z nieprawidłowym zarządzaniem uprawnieniami, która umożliwia lokalnym autorom plików .htaccess odczyt plików z uprawnieniami użytkownika httpd.

Apache HTTP Server w wersjach od 2.4.0 do 2.4.67 zawiera podatność na odczyt poza dozwolonym obszarem pamięci w modułach mod_headers i mod_mime przy obsłudze wielu języków odpowiedzi. Podatność może być wykorzystana zdalnie.

W serwerze Apache HTTP Server od wersji 2.4.0 do 2.4.67 stwierdzono podatność na przepełnienie bufora sterty w module mod_xml2enc, funkcji xml2StartParse oraz przy nieufnej treści. Problem został naprawiony w wersji 2.4.68.

Podatność przepełnienia bufora na stercie w Apache HTTP Server od wersji 2.4.0 do 2.4.67. Może być wykorzystana przez złośliwe serwery backendowe oraz dyrektywy ProxyPassReverseCookie*.

Przepełnienie bufora w module mod_proxy_html serwera Apache HTTP Server 2.4.67 i wcześniejszych. Atakujący może wykorzystać niezaufany backend do ataku.

W Apache HTTP Server 2.4.67 i wcześniejszych występuje podatność na cross-site scripting (XSS) w generowaniu list katalogów HTML przez mod_proxy_ftp podczas wyświetlania zawartości katalogów FTP w konfiguracji proxy forward lub reverse.