[TLP:CLEAR] Apache HTTP server 2.4.59 opravuje 3 zraniteľnosti
dňa 04.04.2024 vyšiel Apache HTTP server vo verzii 2.4.59, ktorá opravuje dve stredne závažné a jednu menej závažnú zraniteľnosť [1].
Neautentizovaný vzdialený útočník môže sústavným tokom HTTP/2 hlavičiek spôsobiť neohraničený rast vyrovnávacej pamäte, čo vedie na vyčerpanie prostriedkov a odopretie služby [2].
Zraniteľnosť sa nachádza v produktoch:
- apache httpd;>=2.4.17,<=2.4.58
- apache http_server;>=2.4.17,<=2.4.58
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2024-27316 na cve.org, NVD
- CWE-400 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 4. 4. 2024.
Autentizovaný vzdialený útočník môže injektovaním odpovedných hlavičiek do backend aplikácií spôsobiť desynchronizáciu HTTP prenosu [3].
Zraniteľnosť sa nachádza v produktoch:
- apache httpd;>=2.4.0,<=2.4.58
- apache http_server;>=2.4.0,<=2.4.58
CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:L/A:L
Viac informácií:
- CVE-2024-24795 na cve.org, NVD
- CWE-74 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 4. 4. 2024.
Napadnuteľná či zlomyseľná backend aplikácia môže kvôli nedostatočnej kontrole vstupu spôsobiť rozdelenie HTTP odpovede [4].
Zraniteľnosť sa nachádza v produktoch:
- apache httpd;<=2.4.58
- apache http_server;<=2.4.58
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L
Viac informácií:
- CVE-2023-38709 na cve.org, NVD
- CWE-20 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 4. 4. 2024.
Odkazy
CESNET, z.s.p.o. dňa 5. 4. 2024.