CH azonosító
CH-7430Angol cím
Apache HTTP Server Information Disclosure and Cross-Site Scripting VulnerabilitiesFelfedezés dátuma
2012.08.21.Súlyosság
AlacsonyÖsszefoglaló
Az Apache HTTP Server két sérülékenységét jelentették, amiket kihasználva a támadók bizalmas információkat szerezhetnek, illetve cross-site scripting (XSS/CSS) támadásokat indíthatnak.
Leírás
- A mod_proxy_ajp és mod_proxy_http egy hibája miatt nem megfelelően záródnak le a kapcsolatok a back end szerver felé hibakezelés közben. Ezt kihasználva más felhasználónak küldött válaszokat lehet megszerezni speciálisan elkészített HTTP kérések segítségével.
- A nem megbízható feltöltések közben a fájlneveken keresztül átadott bemeneti adat nem megfelelően van megtisztítva a mod_negotiation modulban a felhasználónak történő visszaadás előtt. Ezt kihasználva, tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában.
A sérülékenységeket a 2.4.3 verzió előtti kiadásokban jelentették.
Megoldás
Frissítsen a legújabb verzióraTámadás típusa
Input manipulation (Bemenet módosítás)Other (Egyéb)
Hatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Gyártói referencia: httpd.apache.org
Gyártói referencia: www.apache.org
CVE-2012-2687 - NVD CVE-2012-2687
CVE-2012-3502 - NVD CVE-2012-3502
SECUNIA 50363
