Apache 服务器再曝风险漏洞

日前， Apache 软件基金会发布其旗舰 Web 服务器的新版——Apache HTTP Server 2.4.52，该版本被列为紧急版本，为两个记录在案的安全漏洞(CVE-2021-44790 和 CVE-2021-44224)提供保护，其中一个漏洞可能导致远程代码执行攻击。Apache httpd 团队尚未看到该漏洞的利用，但可能只是时间问题。美国网络安全与基础设施安全局 CISA 呼吁开源跨平台 Web 服务器软件的用户“尽快更新”。

Apache 软件基金会的安全公告指出，在 Apache HTTP Server 2.4.51 及更早版本的 mod_lua 中解析多部分内容时可能出现缓冲区溢出 ( CVE-2021-44790 )。该开源小组还记录了 CVE-2021-44224 ，这是 Apache HTTP Server 2.4.51 及更早版本中转发代理配置中的“中等风险”服务器端请求伪造漏洞(NULL取消引用，即SSRF)。

该基金会表示，发送到配置为转发代理(ProxyRequests on)httpd 的 URI 可能导致崩溃(空指针取消引用)，或者对于混合转发和反向代理声明的配置，可以允许将请求定向到声明的 Unix 域套接字端点(即服务器端请求伪造)。Apache HTTP Server 中的安全漏洞已在 CISA 维护的“已知被利用漏洞目录”中确定。该机构近期还提醒注意 CVE-2021-40438 ，这是一个已经被广泛利用的服务器端请求伪造漏洞。