漏洞預警：Apache httpd 出現多個重要安全漏洞

漏洞編号:

• CVE-2017-3167

• CVE-2017-3169

• CVE-2017-7659

• CVE-2017-7668

• CVE-2017-7679

漏洞名稱:

Apache httpd 多個安全漏洞

官方評級:

高危

漏洞描述:

• CVE-2017-3167

第三方模塊在身份驗證階段使用ap_get_basic_auth_pw()，會導緻繞過身份驗證要求。

• CVE-2017-3169

第三方模塊在HTTP請求HTTPS端口時，若調用ap_hook_process_connection()，則mod_ssl會間接引用空指針。

• CVE-2017-7659

處理構造的HTTP/2請求時，會造成mod_http2間接引用空指針，或造成服務器進程崩潰。

• CVE-2017-7668

在令牌列表解析中(zhōng)存在bug，可使ap_find_token()搜索輸入字符串之外(wài)的内容，通過構造的請求頭序列，攻擊者可造成段故障，或強制ap_find_token()返回錯誤值。

• CVE-2017-7679

惡意攻擊者發送惡意Content-Type響應頭時，mod_mime會造成緩沖區越界讀。

漏洞利用條件和方式:

遠程利用

漏洞影響範圍:

• CVE-2017-3167, CVE-2017-3169, CVE-2017-7679:Apache HTTP Web Server 2.2.0 到2.2.32版本

• CVE-2017-7668:Apache HTTP Web Server 2.2.32版本

• CVE-2017-3167, CVE-2017-3169, CVE-2017-7679:Apache HTTP Web Server 2.4.0到2.4.25版本

• CVE-2017-7659, CVE-2017-7668:Apache HTTP Web Server 2.4.25版本

漏洞檢測:

自查Apache http版本是否在受影響範圍内

		apachectl -v	
		或者	
		httpd -v	

漏洞修複建議(或緩解措施):

• Apache httpd 2.4版本用戶升級到2.4.26

• Apache httpd httpd 2.2版本用戶升級到2.2.33-dev