[TLP:CLEAR] Apache HTTP Server opravuje 8 zraniteľností
Apache verziou 2.4.60 opravuje 8 zraniteľností v produkte Apache HTTP Server [1]. Najzávažnejšie zraniteľnosti sú popísané nižšie.
Neautentizovanému vzdialenému útočníkovi je umožnené vo Windows verzii Apache HTTP Server spôsobiť SSRF útok a tým získať neoprávnený prístup k NTML hashom [1].
Zraniteľnosť sa nachádza v produkte:
- Apache HTTP; <=2.4.59;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Viac informácií:
- CVE-2024-38472 na cve.org, NVD
- CWE-918 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 1. 7. 2024.
Neautentizovanému vzdialenému útočníkovi je umožnené spúšťať, prípadne si zobrazovať zdrojový kód skriptov, ktoré by nemali byť priamo dostupné [1].
Zraniteľnosť sa nachádza v produkte:
- Apache HTTP; <=2.4.59;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-38474 na cve.org, NVD
- CWE-116 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 1. 7. 2024.
Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene pristupovať k súborom, ktoré nemajú byť priamo dostupné, čo môže spôsobiť spúšťanie kódu alebo neoprávnený prístup k zdrojovým kódom [1].
Zraniteľnosť sa nachádza v produkte:
- Apache HTTP; <=2.4.59;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Viac informácií:
- CVE-2024-38475 na cve.org, NVD
- CWE-116 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 1. 7. 2024.
Autentizovanému lokálnemu útočníkovi je umožnené neoprávnene pristupovať k informáciám alebo spúšťať lokálne skripty, zasielaním požiadaviek so špeciálne vytvorenými hlavičkami [1].
Zraniteľnosť sa nachádza v produkte:
- Apache HTTP; <=2.4.59;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-38476 na cve.org, NVD
- CWE-829 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 1. 7. 2024.
Neautentizovanému vzdialenému útočníkovi je umožnené vykonať DoS útok zaslaním špeciálne vytvorenej požiadavky [1].
Zraniteľnosť sa nachádza v produkte:
- Apache HTTP; <=2.4.59;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2024-38477 na cve.org, NVD
- CWE-476 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 1. 7. 2024.
Za CESNET, z.s.p.o. Martin Krajči dňa 2. 7. 2024.