近日，Apache 官方发布了httpd的新版本修复了多个安全漏洞，涉及CVE-2017-3167，CVE-2017-3169，CVE-2017-7659，CVE-2017-7668，CVE-2017-7679，可以造成身份验证被绕过以及拒绝服务攻击等。大部分Apache httpd 2.2.x以及2.4.x版本均受影响。相关漏洞信息如下：
| CVE编号 |
漏洞描述 |
|---|---|
| 第三方模块在验证阶段以外调用ap_get_basic_auth_pw()时有可能导致验证要求被绕过 |
|
| 当第三方模块在调用ap_hook_process_connection()发送HTTP请求给HTTPS端口时，mod_ssl可能会间接引用空指针 |
|
| 在处理恶意构造的HTTP/2请求时，mod_http2可能会间接引用空指针，使服务器进程崩溃 |
|
| HTTP严格解析改动中存在一个令牌列表解析的BUG，ap_find_token()可以搜索输入字符串之外的内容。通过构造一个恶意的请求头，攻击者可以造成段错误或者强行让ap_find_token()返回一个错误的值 |
|
| 当攻击者发送一个恶意的Content-Type响应头时，mod_mime会越界读取缓冲区内容。 |
参考链接：
影响范围
受影响的版本
- Apache httpd 2.2.x < 2.2.33-dev
- Apache httpd 2.4.x < 2.4.26
各漏洞影响的版本详细信息可参考文末附录。
不受影响的版本
- Apache httpd 2.2.33-dev
- Apache httpd 2.4.26
规避方案
Apache 官方已经针对2.2.x以及2.4.x发布了相应的2.2.33-dev以及2.4.26新版本修复了上述各漏洞，请受影响的用户及时下载更新至最新版本来防护漏洞。请参考如下连接：
- 版本： https://httpd.apache.org/security/vulnerabilities_22.html
- 版本： https://httpd.apache.org/security/vulnerabilities_24.html
附录 影响版本列表
各漏洞影响版本的具体信息如下：
CVE-2017-3167
2.4.25, 2.4.23, 2.4.20, 2.4.18, 2.4.17, 2.4.16, 2.4.12, 2.4.10, 2.4.9, 2.4.7, 2.4.6, 2.4.4, 2.4.3, 2.4.2, 2.4.1, 2.2.32, 2.2.31, 2.2.29, 2.2.27, 2.2.26, 2.2.25, 2.2.24, 2.2.23, 2.2.22, 2.2.21, 2.2.20, 2.2.19, 2.2.18, 2.2.17, 2.2.16, 2.2.15, 2.2.14, 2.2.13, 2.2.12, 2.2.11, 2.2.10, 2.2.9, 2.2.8, 2.2.6, 2.2.5, 2.2.4, 2.2.3, 2.2.2, 2.2.0
CVE-2017-3169
2.4.25, 2.4.23, 2.4.20, 2.4.18, 2.4.17, 2.4.16, 2.4.12, 2.4.10, 2.4.9, 2.4.7, 2.4.6, 2.4.4, 2.4.3, 2.4.2, 2.4.1, 2.2.32, 2.2.31, 2.2.29, 2.2.27, 2.2.26, 2.2.25, 2.2.24, 2.2.23, 2.2.22, 2.2.21, 2.2.20, 2.2.19, 2.2.18, 2.2.17, 2.2.16, 2.2.15, 2.2.14, 2.2.13, 2.2.12, 2.2.11, 2.2.10, 2.2.9, 2.2.8, 2.2.6, 2.2.5, 2.2.4, 2.2.3, 2.2.2, 2.2.0
CVE-2017-7659
2.4.25
CVE-2017-7668
2.4.25, 2.2.32
CVE-2017-7679
2.4.25, 2.4.23, 2.4.20, 2.4.18, 2.4.17, 2.4.16, 2.4.12, 2.4.10, 2.4.9, 2.4.7, 2.4.6, 2.4.4, 2.4.3, 2.4.2, 2.4.1, 2.2.32, 2.2.31, 2.2.29, 2.2.27, 2.2.26, 2.2.25, 2.2.24, 2.2.23, 2.2.22, 2.2.21, 2.2.20, 2.2.19, 2.2.18, 2.2.17, 2.2.16, 2.2.15, 2.2.14, 2.2.13, 2.2.12, 2.2.11, 2.2.10, 2.2.9, 2.2.8, 2.2.6, 2.2.5, 2.2.4, 2.2.3, 2.2.2, 2.2.0
绿盟科技声明
本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
原文发布时间：2017年6月21日
本文由：绿盟科技发布，版权归属于原作者
原文链接:http://toutiao.secjia.com/apache-httpd-multiple-vulnerabilities
本文来自云栖社区合作伙伴安全加，了解相关信息可以关注安全加网站
