漏洞名称：
Apache Http Server 请求走私漏洞 CVE-2023-25690
组件名称：
Apache Http Server
影响范围：
2.4.0≤Apache HTTP Server≤2.4.55
漏洞类型：
请求走私
利用条件：
1、用户认证：未知
2、前置条件：mod_proxy与特定格式的RewriteRule或ProxyPassMatch 一起启用
3、触发方式：远程
综合评价：
<综合评定利用难度>：未知
<综合评定威胁等级>：高危，能绕过访问控制。
官方解决方案：
已发布
漏洞分析
组件介绍
Apache HTTP Server（简称Apache），是 Apache 软件基金会的一个开放源代码的网页服务器，可以在大多数电脑操作系统中运行，由于其具有的跨平台性和安全性，被广泛使用，是最流行的 Web 服务器端软件之一。
漏洞简介
2023 年 3 月 9 日，深信服安全团队监测到一则 Apache HTTP Server 组件存在请求走私漏洞的信息，漏洞编号：CVE-2023-25690，漏洞威胁等级：高危。
该漏洞是由于当 mod_proxy 与特定格式的 RewriteRule 或 ProxyPassMatch一起启用时，配置会受到影响，与用户提供的 URL 数据进行匹配后，使用变量替换将其重新插入到代理的请求目标中可实现请求走私。攻击者可利用该漏洞，构造恶意数据执行 HTTP 请求走私攻击，最终绕过代理服务器中的访问控制，将非预期的 URL 代理到现有源服务器，以及缓存中毒。
影响范围
Apache HTTP Server 可以运行在几乎所有计算机平台上，由于其跨平台和安全性被广泛使用，成为最流行的 Web 服务器端软件之一）。全球有数千万 Web 服务器采用 Apache HTTP Server，可能受漏洞影响的资产广泛分布于世界各地，国内省份中，浙江、广东、山东、北京、上海等省市接近 70%，此漏洞危险等级高，涉及用户量多，但是存在较为严苛的前置条件，漏洞影响力一般。
目前受影响的 Apache HTTP Server 版本：
2.4.0≤Apache HTTP Server≤2.4.55
解决方案
如何检测组件版本
可执行命令
httpd -v
或
apachectl -v
获取组件版本，如图：
官方修复建议
当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：
https://httpd.apache.org/download.cgi
深信服解决方案
1.主动检测
支持对 Apache Http Server 请求走私漏洞 (CVE-2023-25690) 的主动检测，可批量快速检出业务场景中该事件的受影响资产情况，相关产品如下：
【深信服云镜YJ】预计 2023 年 3 月 13 日发布检测方案。
【深信服漏洞评估工具TSS】预计 2023 年 3 月 13 日发布检测方案。
【深信服主机安全检测响应平台CWPP】预计 2023 年 3 月 9 日发布检测方案。
【深信服安全托管服务MSS】预计 2023 年 3 月 9 日发布检测方案。
【深信服安全检测与响应平台XDR】预计 2023 年 3 月 9 日发布检测方案。
参考链接
https://httpd.apache.org/security_report.html
时间轴
2023/3/9
深信服监测到 Apache HTTP Server 请求走私漏洞攻击信息。
2023/3/9
深信服千里目安全技术中心发布漏洞通告。
点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。
原文始发于微信公众号（深信服千里目安全技术中心）：漏洞通告：Apache Http Server请求走私漏洞CVE-2023-25690
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论