漏洞通告:Apache Http Server请求走私漏洞CVE-2023-25690

admin 2023年3月9日17:48:09评论141 views字数 1458阅读4分51秒阅读模式
漏洞通告:Apache Http Server请求走私漏洞CVE-2023-25690

漏洞名称:

Apache Http Server 请求走私漏洞 CVE-2023-25690

组件名称:

Apache Http Server

影响范围:

2.4.0≤Apache HTTP Server≤2.4.55

漏洞类型:

请求走私

利用条件:

1、用户认证:未知

2、前置条件:mod_proxy与特定格式的RewriteRule或ProxyPassMatch 一起启用

3、触发方式:远程

综合评价:

<综合评定利用难度>:未知

<综合评定威胁等级>:高危,能绕过访问控制。

官方解决方案:

已发布


漏洞分析

漏洞通告:Apache Http Server请求走私漏洞CVE-2023-25690

组件介绍

Apache HTTP Server(简称Apache),是 Apache 软件基金会的一个开放源代码的网页服务器,可以在大多数电脑操作系统中运行,由于其具有的跨平台性和安全性,被广泛使用,是最流行的 Web 服务器端软件之一。

漏洞通告:Apache Http Server请求走私漏洞CVE-2023-25690

漏洞简介

2023 年 3 月 9 日,深信服安全团队监测到一则 Apache HTTP Server 组件存在请求走私漏洞的信息,漏洞编号:CVE-2023-25690,漏洞威胁等级:高危。

该漏洞是由于当 mod_proxy 与特定格式的 RewriteRule 或 ProxyPassMatch一起启用时,配置会受到影响,与用户提供的 URL 数据进行匹配后,使用变量替换将其重新插入到代理的请求目标中可实现请求走私。攻击者可利用该漏洞,构造恶意数据执行 HTTP 请求走私攻击,最终绕过代理服务器中的访问控制,将非预期的 URL 代理到现有源服务器,以及缓存中毒。

影响范围


Apache HTTP Server 可以运行在几乎所有计算机平台上,由于其跨平台和安全性被广泛使用,成为最流行的 Web 服务器端软件之一)。全球有数千万 Web 服务器采用 Apache HTTP Server,可能受漏洞影响的资产广泛分布于世界各地,国内省份中,浙江、广东、山东、北京、上海等省市接近 70%,此漏洞危险等级高,涉及用户量多,但是存在较为严苛的前置条件,漏洞影响力一般。

目前受影响的 Apache HTTP Server 版本:

2.4.0≤Apache HTTP Server≤2.4.55

解决方案

漏洞通告:Apache Http Server请求走私漏洞CVE-2023-25690

如何检测组件版本


可执行命令

httpd -v

apachectl -v

获取组件版本,如图:


漏洞通告:Apache Http Server请求走私漏洞CVE-2023-25690
漏洞通告:Apache Http Server请求走私漏洞CVE-2023-25690

官方修复建议


当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。链接如下:

https://httpd.apache.org/download.cgi

深信服解决方案



1.主动检测

支持对 Apache Http Server 请求走私漏洞 (CVE-2023-25690) 的主动检测,可批量快速检出业务场景中该事件的受影响资产情况,相关产品如下:

【深信服云镜YJ】预计 2023 年 3 月 13 日发布检测方案。

【深信服漏洞评估工具TSS】预计 2023 年 3 月 13 日发布检测方案。

【深信服主机安全检测响应平台CWPP】预计 2023 年 3 月 9 日发布检测方案。

【深信服安全托管服务MSS】预计 2023 年 3 月 9 日发布检测方案。

【深信服安全检测与响应平台XDR】预计 2023 年 3 月 9 日发布检测方案。

参考链接

https://httpd.apache.org/security_report.html

时间轴


2023/3/9

深信服监测到 Apache HTTP Server 请求走私漏洞攻击信息。

2023/3/9

深信服千里目安全技术中心发布漏洞通告。


点击阅读原文,及时关注并登录深信服智安全平台,可轻松查询漏洞相关解决方案。

漏洞通告:Apache Http Server请求走私漏洞CVE-2023-25690



漏洞通告:Apache Http Server请求走私漏洞CVE-2023-25690



原文始发于微信公众号(深信服千里目安全技术中心):漏洞通告:Apache Http Server请求走私漏洞CVE-2023-25690

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年3月9日17:48:09
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   漏洞通告:Apache Http Server请求走私漏洞CVE-2023-25690http://cn-sec.com/archives/1593969.html

发表评论

匿名网友 填写信息