谷歌研究员报告了三处Apache服务器漏洞

发布于：2020-08-29 23:22:20  栏目：技术文档

如果你的web服务器上运行着的是Apache，你应当立即安装最新的版本以防止黑客在未授权的情况下完全控制它。

Apache官方近来修复了web服务器上的多个漏洞，这些漏洞可能会潜在地导致任意代码执行，并且在特定的情况下，攻击者可以造成系统崩溃以及拒绝服务攻击。

这些漏洞的编号分别为CVE-2020-9490、CVE-2020-11984、CVE-2020-11993，由谷歌的“零项目”网络安全团队的Felix Wilhelm所揭露。此后，Apache基金会已经在最新的版本(2.4.46)中将漏洞处理。

首先，我们要谈论的这三个漏洞当中的第一个漏洞(CVE-2020-11984)，由于"mod_uwsgi"模块中的缓冲区溢出因此造成远程代码执行，并潜在地允许攻击者去查看，修改或是删除敏感数据，具体取决于服务器上运行的应用程序相关联的权限。

"恶意的请求可能会导致在恶意进程环境下运行的服务器上现有文件的信息泄漏或远程代码执行。"Apache官方指出。

第二个漏洞(CVE-2020-11993)表明，当"mod_http2"模块启用调试时将会被触发，导致日志语句生成在错误的连接上，因此引发由于并行利用日志池而造成的内存损坏。

CVE-2020-9490是这三个漏洞中最严重的一个，同样存在于HTTP/2模块中。它可以通过构造了特殊的Cache-Digest请求头去造成内存损坏并导致系统崩溃和拒绝服务。

Cache-Digest是现已废弃的web优化功能中的一部分，旨在解决服务器的推送问题 —— 它可以让服务器在第一时间将响应发送给客户端 —— 通过让客户端告知服务器当前最新的缓存内容，带宽将不会浪费在发送那些已经在客户端缓存当中的资源文件。

正因此，当一个被特殊构造的值注入进HTTP/2的Cache-Digest请求头中后，如果服务器使用该请求头发送一个推送数据包就将会造成系统崩溃。在未安装补丁的服务器上，这个问题可以通过关闭HTTP/2 server push特性来解决。

尽管目前还没有关于上述漏洞在野利用的报告，但在适当的测试之后，非常有必要立刻将存在漏洞的系统打上补丁，并确保应用程序仅配置了所需的权限，以减轻影响。

相关推荐