登录

欢迎user新华三退出

简体中文

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 关于我们

Apache HTTP Server请求走私漏洞通告（CVE-2023-25690）

【发布时间：2023-04-20】

威胁预警团队

2023/03/08


1. 漏洞综述

1.1 漏洞背景

Apache HTTP Server（简称Apache），是Apache软件基金会的一个开放源代码的网页服务器。具有的跨平台性和安全性，被广泛使用，是最流行的Web服务器端软件之一。近日，新华三攻防实验室威胁预警团队监测到Apache官方发布了安全公告，修复了一个存在于Apache HTTP Server中的HTTP请求走私漏洞（CVE-2023-25690），攻击者利用该漏洞可能导致HTTP请求走私攻击。

1.2 漏洞详情

由于Apache HTTP Server中mod_proxy存在配置问题，当使用特定形式的RewriteRule或ProxyPassMatch时，可能导致请求走私漏洞，成功利用此漏洞可以绕过代理服务器中的访问控制，将非预期URL代理到现有源服务器，导致缓存中毒。

2. 影响范围

2.4.0<= Apache HTTP Server <= 2.4.55

3. 严重等级

威胁等级

中危

影响程度

广泛

利用价值

中等

利用难度

低

漏洞评分

5.3

4. 处置方法

4.1 官方补丁

目前官方已修复该漏洞，受影响用户可以升级更新到安全版本。官方下载链接：https://httpd.apache.org/download.cgi

5. 参考链接

https://httpd.apache.org/security/vulnerabilities_24.html

https://httpd.apache.org/

新华三官网
联系我们