漏洞描述
Apache HTTP Server 是一個Web服務(wù)器軟件。
該項目受影響版本存在請求走私漏洞。由于mod_proxy_uwsgi.c 中uwsgi_response方法對于源響應(yīng)頭缺少檢查，當(dāng)apache啟用mod_proxy_uwsgi后，攻擊者可利用過長的源響應(yīng)頭等迫使應(yīng)轉(zhuǎn)發(fā)到客戶端的響應(yīng)被截斷或拆分，進(jìn)而可能造成會話劫持等危害。
| 漏洞名稱 | Apache HTTP Server <2.4.56 mod_proxy_uwsgi 模塊存在請求走私漏洞 |
|---|---|
| 漏洞類型 | HTTP請求走私 |
| 發(fā)現(xiàn)時間 | 2023/3/8 |
| 漏洞影響廣度 | 廣 |
| MPS編號 | MPS-2023-6814 |
| CVE編號 | CVE-2023-27522 |
| CNVD編號 | - |
影響范圍
httpd@[2.4.30, 2.4.56)
apache2@(-∞, 2.4.56-1)
修復(fù)方案
升級httpd到 2.4.56 或更高版本。
將組件 apache2 升級至 2.4.56-1 及以上版本
參考鏈接
https://www.oscs1024.com/hd/MPS-2023-6814
https://nvd.nist.gov/vuln/detail/CVE-2023-27522
https://httpd.apache.org/security/vulnerabilities_24.html
https://github.com/apache/httpd/commit/0df5879df8f16b4101ea2365672178b4ae899e9e
關(guān)于墨菲安全
墨菲安全是一家為您提供專業(yè)的軟件供應(yīng)鏈安全管理的科技公司，核心團(tuán)隊來自百度、華為、烏云等企業(yè)，公司為客戶提供完整的軟件供應(yīng)鏈安全管理平臺，圍繞SBOM提供軟件全生命周期的安全管理，平臺能力包括軟件成分分析、源安全管理、容器鏡像檢測、漏洞情報預(yù)警及商業(yè)軟件供應(yīng)鏈準(zhǔn)入評估等多個產(chǎn)品。為客戶提供從供應(yīng)鏈資產(chǎn)識別管理、風(fēng)險檢測、安全控制、一鍵修復(fù)的完整控制能力。
開源項目：https://github.com/murphysecurity/murphysec/?sf=qbyj
產(chǎn)品可以極低成本的和現(xiàn)有開發(fā)流程中的各種工具一鍵打通，包括 IDE、Gitlab、Bitbucket、Jenkins、Harbor、Nexus 等數(shù)十種工具無縫集成。
免費代碼安全檢測工具： https://www.murphysec.com/?sf=qbyj
免費情報訂閱： https://www.oscs1024.com/cm/?sf=qbyj文章來源：http://www.zghlxwxcb.cn/news/detail-492648.html
文章來源地址http://www.zghlxwxcb.cn/news/detail-492648.html
到了這里，關(guān)于Apache HTTP Server ＜2.4.56 mod_proxy_uwsgi 模塊存在請求走私漏洞（CVE-2023-27522）的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
