Apache HTTP 服务器漏洞可导致远程代码执行和拒绝服务攻击

原创

ZM
ZM

暗镜

2026年10月5日 06:00
辽宁

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

Apache HTTP Server 2.4存在多个漏洞，这些漏洞包括可能导致远程代码执行 (RCE)、服务器崩溃、内存耗尽和其他拒绝服务 (DoS) 情况的缺陷。这些漏洞会影响这款广泛使用的 Web 服务器的多个组件，特别是使用 HTTP/2、mod\_rewrite、mod\_proxy、WebDAV 和某些可选模块的配置。Apache 已在后续的 2.4 版本中发布了修复程序，最新的安全公告记录了截至 2.4.68 版本的修复方案。

其中最严重的漏洞是 CVE-2024-38475，这是 mod\_rewrite 中的一个严重缺陷，会影响 Apache HTTP Server 2.4.59 及更早版本。

此漏洞源于重写处理过程中不正确的输出转义。攻击者可以利用不安全的替换，尤其是在使用反向引用或变量作为替换的第一部分时，将 URL 映射到允许但并非有意暴露的文件系统位置。

Apache 已发出警告，根据服务器配置和目标环境的不同，这可能导致代码执行或源代码泄露。此漏洞已在 Apache HTTP 服务器 2.4.60 版本中修复。

另一个重要的漏洞 CVE-2024-38474 会影响 mod\_rewrite 对反向引用中编码问号的处理。

一次成功的攻击可能允许攻击者在无法通过 URL 直接访问的已配置目录中执行脚本，或者泄露仅供 CGI 执行的脚本的源代码。

Apache 在 2.4.60 版本中解决了这个问题，但指出一些之前运行正常的重写规则可能需要重新审查。管理员只有在确认受影响的替换已受到安全约束后才能使用 UnsafeAllow3F 标志。

CVE-2024-38476 是另一个影响 Apache HTTP 服务器核心 2.4.59 及更早版本的重要评级漏洞。此漏洞可能允许恶意或可利用的后端应用程序响应头通过内部重定向调用本地处理程序。

根据服务器配置和后端行为，其后果可能包括信息泄露、服务器端请求伪造 (SSRF)或本地脚本执行。Apache 的修复方案可能要求依赖旧版 AddType 映射进行处理程序分配的组织过渡到使用 SetHandler 的受影响配置。

拒绝服务攻击的风险相当大，尤其是在 HTTP/2 部署中。CVE-2026-49975 已在 Apache HTTP Server 2.4.68 版本中修复，它是 mod\_http2 模块中的一个中等严重性漏洞，可能通过恶意 HTTP 请求触发过多的内存分配而导致 DoS 攻击。这会影响 2.4.17 到 2.4.67 版本。另外，CVE-2026-44186 可能导致 mod\_proxy\_ftp 在与攻击者控制的后端 FTP 服务器通信时出现无限循环。同时，CVE-2026-42535 允许 WebDAV 内容作者操纵受信任的 DAV 属性数据库，这可能会导致子进程崩溃。各组织应优先升级到 Apache HTTP Server 2.4.68，该版本修复了最新的问题。