Apache HTTP Server多个安全缝隙公告

颁布功夫 2020-08-11

0x00 缝隙概述



产品

CVE ID

类 型

缝隙等级

远程利用

影响领域

Apache HTTP Server

CVE-2020-9490

DOS

高危

是

Apache HTTP Server 2.4.20-2.4.43

CVE-2020-11984

BO

中危

是

Apache HTTP Server 2.4.32-2.4.43

CVE-2020-11993

DOS

中危

是

Apache HTTP Server 2.4.20-2.4.43


0x01 缝隙详情


8827太阳集团(Macau)股份有限公司-Official website


2020年8月7日，，，，，，，Apache官方颁布安全布告，，，，，，，建复了Apache HTTP Server中的两个回绝服务缝隙（CVE-2020-9490/CVE-2020-11993）和一个缓冲区溢露马脚（CVE-2020-11984），，，，，，，具体信息如下：

Apache HTTP Server HTTP/2回绝服务缝隙（CVE-2020-9490）

该缝隙源于在HTTP/2要求中通过机关’Cache-Digest’值可造成服务崩溃，，，，，，，导致回绝服务。。。。。。 。。浚�？？？？？梢皇迸摹癏2Push off”来缓解攻击。。。。。。 。。

Apache HTTP Server HTTP/2缓冲区溢露马脚（CVE-2020-11984）

mod_proxy_uwsgi是Apache的一个服务模浚�？？？？？椋�，，，，，重要提供对uwsgi和谈的支持。。。。。。 。。该缝隙源于mod_proxy_uwsgi中存在缓冲区溢露马脚，，，，，，，可能导致信息泄露或远程代码执杏祝。。。。。 。。

Apache HTTP Server HTTP/2回绝服务缝隙（CVE-2020-11993）

该缝隙源于Apache版本2.4.20至2.4.43为HTTP2模浚�？？？？？楹湍承┝髁勘咴的Ｊ狡粲酶�/调试时，，，，，，，在谬误的衔接上执行了日志纪录语句，，，，，，，从而导致并发使用内存池，，，，，，，降低法式与操作系统的机能。。。。。。 。。浚�？？？？？梢皇痹凇癷nfo”上配置mod_http2的LogLevel来缓解攻击。。。。。。 。。


0x02 措置建议


官方已颁布最新版本，，，，，，，下载链接：

https://httpd.apache.org/download.cgi


0x03 有关新闻


https://www.tenable.com/plugins/nessus/139436


0x04 参考链接


https://httpd.apache.org/security/vulnerabilities_24.html


0x05 功夫线


2020-08-07 Apache颁布安全布告

2020-08-11 VSRC颁布缝隙公告


8827太阳集团(Macau)股份有限公司-Official website