多个Apache httpd安全漏洞 安全威胁通告
2017-06-21
近日，Apache官方发布了httpd的新版本修复了多个安全漏洞，涉及CVE-2017-3167，CVE-2017-3169，CVE-2017-7659，CVE-2017-7668，CVE-2017-7679，可以造成身份验证被绕过以及拒绝服务攻击等。大部分Apache httpd 2.2.x以及2.4.x版本均受影响。相关漏洞信息如下：
|
CVE编号 |
漏洞描述 |
|
第三方模块在验证阶段以外调用ap_get_basic_auth_pw()时有可能导致验证要求被绕过 |
|
|
当第三方模块在调用ap_hook_process_connection()发送HTTP请求给HTTPS端口时，mod_ssl可能会间接引用空指针 |
|
|
在处理恶意构造的HTTP/2请求时，mod_http2可能会间接引用空指针，使服务器进程崩溃 |
|
|
HTTP严格解析改动中存在一个令牌列表解析的BUG，ap_find_token()可以搜索输入字符串之外的内容。通过构造一个恶意的请求头，攻击者可以造成段错误或者强行让ap_find_token()返回一个错误的值 |
|
|
当攻击者发送一个恶意的Content-Type响应头时，mod_mime会越界读取缓冲区内容。 |
参考链接：
https://httpd.apache.org/security/vulnerabilities_24.html
https://httpd.apache.org/security/vulnerabilities_22.html
受影响的版本
Apache httpd 2.2.x < 2.2.33-dev
Apache httpd 2.4.x < 2.4.26
各漏洞影响的版本详细信息可参考文末附录。
不受影响的版本
Apache httpd 2.4.26
规避方案
Apache官方已经针对2.2.x以及2.4.x发布了相应的2.2.33-dev以及2.4.26新版本修复了上述各漏洞，请受影响的用户及时下载更新至最新版本来防护漏洞。请参考如下连接：
2.2.x版本：https://httpd.apache.org/security/vulnerabilities_22.html
2.4.x版本：https://httpd.apache.org/security/vulnerabilities_24.html
附录
各漏洞影响版本的具体信息如下：
CVE-2017-3167
2.4.25 2.4.23 2.4.20 2.4.18 2.4.17 2.4.16 2.4.12 2.4.10 2.4.9 2.4.7 2.4.6 2.4.4 2.4.3 2.4.2 2.4.1 2.2.32 2.2.31 2.2.29 2.2.27 2.2.26 2.2.25 2.2.24 2.2.23 2.2.22 2.2.21 2.2.20 2.2.19 2.2.18 2.2.17 2.2.16 2.2.15 2.2.14 2.2.13 2.2.12 2.2.11 2.2.10 2.2.9 2.2.8 2.2.6 2.2.5 2.2.4 2.2.3 2.2.2 2.2.0
CVE-2017-3169
2.4.25 2.4.23 2.4.20 2.4.18 2.4.17 2.4.16 2.4.12 2.4.10 2.4.9 2.4.7 2.4.6 2.4.4 2.4.3 2.4.2 2.4.1 2.2.32 2.2.31 2.2.29 2.2.27 2.2.26 2.2.25 2.2.24 2.2.23 2.2.22 2.2.21 2.2.20 2.2.19 2.2.18 2.2.17 2.2.16 2.2.15 2.2.14 2.2.13 2.2.12 2.2.11 2.2.10 2.2.9 2.2.8 2.2.6 2.2.5 2.2.4 2.2.3 2.2.2 2.2.0
CVE-2017-7659
2.4.25
CVE-2017-7668
2.4.25 2.2.32
CVE-2017-7679
2.4.25 2.4.23 2.4.20 2.4.18 2.4.17 2.4.16 2.4.12 2.4.10 2.4.9 2.4.7 2.4.6 2.4.4 2.4.3 2.4.2 2.4.1 2.2.32 2.2.31 2.2.29 2.2.27 2.2.26 2.2.25 2.2.24 2.2.23 2.2.22 2.2.21 2.2.20 2.2.19 2.2.18 2.2.17 2.2.16 2.2.15 2.2.14 2.2.13 2.2.12 2.2.11 2.2.10 2.2.9 2.2.8 2.2.6 2.2.5 2.2.4 2.2.3 2.2.2 2.2.0
声 明
本安全公告仅用来描述可能存在的安全问题，js1996官网登录不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，js1996官网登录以及安全公告作者不为此承担任何责任。js1996官网登录拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经js1996官网登录允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
