p PatchFirst

PatchFirst · Aktuelle Sicherheitslücken

Sicherheitslücken in apache2

In den letzten 30 Tagen veröffentlichte Sicherheitslücken für apache2: 0. Davon im KEV-Katalog: 0.

RSS ↗ JSON ↗
Sicherheitslücken filtern
Filter zurücksetzen

Sicherheitslücken: 53

  1. CVE-2023-25690

    Kritisch · CVSS 9.8EPSS 84,51%Öffentlicher ExploitKorrektur verfügbar

    Apache HTTP Server: HTTP request splitting with mod_rewrite and mod_proxy

    Some mod_proxy configurations on Apache HTTP Server versions 2.4.0 through 2.4.55 allow a HTTP Request Smuggling attack. Configurations are affected when mod_proxy is enabled along with some form of RewriteRule or ProxyPassMatch in which a non-specific pattern matches some portion of the user-supplied request-target (URL) data and is then re-inserted into the proxied request-target using variable substitution. For example, something like: RewriteEngine on RewriteRule "^/here/(.*)" "http://example.com:8080/elsewhere?$1"; [P] ProxyPassReverse /here/ http://example.com:8080/ Request splitting/smuggling could result in bypass of acc

    apache2Betriebssysteme
    • Auf 2.4.29-1ubuntu4.27 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  2. CVE-2022-37436

    Mittel · CVSS 5.3EPSS 55,91%Korrektur verfügbar

    Apache HTTP Server: mod_proxy prior to 2.4.55 allows a backend to trigger HTTP response splitting

    Prior to Apache HTTP Server 2.4.55, a malicious backend can cause the response headers to be truncated early, resulting in some headers being incorporated into the response body. If the later headers have any security purpose, they will not be interpreted by the client.

    apache2Betriebssysteme
    • Auf 2.4.29-1ubuntu4.26 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  3. CVE-2022-36760

    Kritisch · CVSS 9EPSS 1,88%Korrektur verfügbar

    Apache HTTP Server: mod_proxy_ajp Possible request smuggling

    Inconsistent Interpretation of HTTP Requests ('HTTP Request Smuggling') vulnerability in mod_proxy_ajp of Apache HTTP Server allows an attacker to smuggle requests to the AJP server it forwards requests to. This issue affects Apache HTTP Server Apache HTTP Server 2.4 version 2.4.54 and prior versions.

    apache2Betriebssysteme
    • Auf 2.4.29-1ubuntu4.26 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  4. CVE-2006-20001

    Hoch · CVSS 7.5EPSS 3,55%Korrektur verfügbar

    Apache HTTP Server: mod_dav out of bounds read, or write of zero byte

    A carefully crafted If: request header can cause a memory read, or write of a single zero byte, in a pool (heap) memory location beyond the header value sent. This could cause the process to crash. This issue affects Apache HTTP Server 2.4.54 and earlier.

    apache2Betriebssysteme
    • Auf 2.4.29-1ubuntu4.26 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  5. CVE-2022-31813

    Kritisch · CVSS 9.8EPSS 3,54%Korrektur verfügbar

    mod_proxy X-Forwarded-For dropped by hop-by-hop mechanism

    Apache HTTP Server 2.4.53 and earlier may not send the X-Forwarded-* headers to the origin server based on client side Connection header hop-by-hop mechanism. This may be used to bypass IP based authentication on the origin server/application.

    apache2Betriebssysteme
    • Auf 2.4.29-1ubuntu4.24 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  9. CVE-2022-28615

    Kritisch · CVSS 9.1EPSS 6,28%Korrektur verfügbar

    Read beyond bounds in ap_strcmp_match()

    Apache HTTP Server 2.4.53 and earlier may crash or disclose information due to a read beyond bounds in ap_strcmp_match() when provided with an extremely large input buffer. While no code distributed with the server can be coerced into such a call, third-party modules or lua scripts that use ap_strcmp_match() may hypothetically be affected.

    apache2Betriebssysteme
    • Auf 2.4.29-1ubuntu4.24 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  10. CVE-2022-28614

    Mittel · CVSS 5.3EPSS 4,98%Korrektur verfügbar

    read beyond bounds via ap_rwrite()

    The ap_rwrite() function in Apache HTTP Server 2.4.53 and earlier may read unintended memory if an attacker can cause the server to reflect very large input using ap_rwrite() or ap_rputs(), such as with mod_luas r:puts() function. Modules compiled and distributed separately from Apache HTTP Server that use the 'ap_rputs' function and may pass it a very large (INT_MAX or larger) string must be compiled against current headers to resolve the issue.

    apache2Betriebssysteme
    • Auf 2.4.29-1ubuntu4.24 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  11. CVE-2022-26377

    Hoch · CVSS 7.5EPSS 21,08%Korrektur verfügbar

    mod_proxy_ajp: Possible request smuggling

    Inconsistent Interpretation of HTTP Requests ('HTTP Request Smuggling') vulnerability in mod_proxy_ajp of Apache HTTP Server allows an attacker to smuggle requests to the AJP server it forwards requests to. This issue affects Apache HTTP Server Apache HTTP Server 2.4 version 2.4.53 and prior versions.

    apache2Betriebssysteme
    • Auf 2.4.29-1ubuntu4.24 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  12. CVE-2022-23943

    Kritisch · CVSS 9.8EPSS 50,4%Korrektur verfügbar

    mod_sed: Read/write beyond bounds

    Out-of-bounds Write vulnerability in mod_sed of Apache HTTP Server allows an attacker to overwrite heap memory with possibly attacker provided data. This issue affects Apache HTTP Server 2.4 version 2.4.52 and prior versions.

    apache2Betriebssysteme
    • Auf 2.4.29-1ubuntu4.22 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  13. CVE-2022-22721

    Kritisch · CVSS 9.1EPSS 41,71%Korrektur verfügbar

    core: Possible buffer overflow with very large or unlimited LimitXMLRequestBody

    If LimitXMLRequestBody is set to allow request bodies larger than 350MB (defaults to 1M) on 32 bit systems an integer overflow happens which later causes out of bounds writes. This issue affects Apache HTTP Server 2.4.52 and earlier.

    apache2Betriebssysteme
    • Auf 2.4.29-1ubuntu4.22 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  16. CVE-2021-44224

    Hoch · CVSS 8.2EPSS 82,3%Korrektur verfügbar

    Possible NULL dereference or SSRF in forward proxy configurations in Apache HTTP Server 2.4.51 and earlier

    A crafted URI sent to httpd configured as a forward proxy (ProxyRequests on) can cause a crash (NULL pointer dereference) or, for configurations mixing forward and reverse proxy declarations, can allow for requests to be directed to a declared Unix Domain Socket endpoint (Server Side Request Forgery). This issue affects Apache HTTP Server 2.4.7 up to 2.4.51 (included).

    apache2Betriebssysteme
    • Auf 2.4.29-1ubuntu4.21 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  17. CVE-2021-44790

    Kritisch · CVSS 9.8EPSS 96,84%Öffentlicher ExploitKorrektur verfügbar

    Possible buffer overflow when parsing multipart content in mod_lua of Apache HTTP Server 2.4.51 and earlier

    A carefully crafted request body can cause a buffer overflow in the mod_lua multipart parser (r:parsebody() called from Lua scripts). The Apache httpd team is not aware of an exploit for the vulnerabilty though it might be possible to craft one. This issue affects Apache HTTP Server 2.4.51 and earlier.

    apache2Betriebssysteme
    • Auf 2.4.29-1ubuntu4.21 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  18. USN-5090-3

    Nicht bewertetKorrektur verfügbar

    apache2 regression

    USN-5090-1 fixed vulnerabilities in Apache HTTP Server. One of the upstream fixes introduced a regression in UDS URIs. This update fixes the problem. Original advisory details: James Kettle discovered that the Apache HTTP Server HTTP/2 module incorrectly handled certain crafted methods. A remote attacker could possibly use this issue to perform request splitting or cache poisoning attacks. (CVE-2021-33193) It was discovered that the Apache HTTP Server incorrectly handled certain malformed requests. A remote attacker could possibly use this issue to cause the server to crash, resulting in a denial of service. (CVE-2021-34798) Li

    apache2Betriebssysteme
    • Auf 2.4.29-1ubuntu4.18 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  20. CVE-2021-39275

    Kritisch · CVSS 9.8EPSS 39,4%Korrektur verfügbar

    ap_escape_quotes buffer overflow

    ap_escape_quotes() may write beyond the end of a buffer when given malicious input. No included modules pass untrusted data to these functions, but third-party / external modules may. This issue affects Apache HTTP Server 2.4.48 and earlier.

    apache2Betriebssysteme
    • Auf 2.4.29-1ubuntu4.17 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

Prüfen Sie Ihren Server

Gleichen Sie Ihren installierten Stack und seine Versionen mit den aktuellen Sicherheitsmeldungen ab.

Prüfen Sie Ihren Server →