Apache被曝3個安全漏洞

2020-11-28 騰訊網

Google Project Zero研究人員Felix Wilhelm 近日在Apache web伺服器中發現了多個安全漏洞，分別是CVE-2020-9490、CVE-2020-11984和CVE-2020-11993。攻擊者利用這些漏洞可以執行任意代碼，在特定情境下還可以引發奔潰或拒絕服務攻擊。

CVE-2020-11984

CVE-2020-11984 漏洞是mod_uwsgi 模塊的緩衝區溢出引發的遠程代碼執行漏洞，攻擊者利用該漏洞可以查看、修改和刪除敏感數據，具體根據運行在伺服器上的應用的權限決定。攻擊者可以通過構造惡意請求來引發信息洩露或利用惡意進程環境中運行的伺服器上的現有文件實現遠程代碼執行。

CVE-2020-11993

CVE-2020-11993 漏洞位於mod_http2 模塊中，在啟用調試時會被觸發，引發日誌記錄語句記錄在錯誤的連接上，最終由於並發日誌池使用引發內存破壞。

CVE-2020-9490

CVE-2020-9490漏洞位於HTTP/2 模塊，也是這3個漏洞中最嚴重的漏洞。攻擊者可以通過構造Cache-Digest header來引發內存破壞，最終導致奔潰或DoS 攻擊。

Cache Digest 是現在已經不在使用的web優化特徵，通過允許伺服器預先發送響應給客戶端，客戶端可以告知伺服器其最新的緩存內容，這樣就不會發送客戶端緩存中已有的資源避免浪費帶寬。

因此當在HTTP/2 請求的Cache-Digest header中注入偽造的值時，當伺服器用該header 發送PUSH 包時，就會引發奔潰。

補丁

目前還沒有發現這些漏洞的在野利用，但研究人員建議運行apache web伺服器的用戶儘快更新到最新的2.4.46 版本，以避免攻擊者獲得伺服器的控制權限。

參考及來源：https://thehackernews.com/2020/08/apache-webserver-security.html

相關焦點

  • 「網絡安全」關於Apache Shiro權限繞過高危漏洞的 預警通報
    近日，國家信息安全漏洞共享平臺（CNVD）公布了深信服終端檢測平臺（EDR）遠程命令執行高危漏洞，攻擊者利用該漏洞可遠程執行系統命令，獲得目標伺服器的權限。一、漏洞情況Apache Shiro是一個強大且易用的Java安全框架,用於執行身份驗證、授權、密碼和會話管理。由於shiro在處理url時與spring存在差異，處理身份驗證請求時出錯導致存在身份校驗繞過漏洞，遠程攻擊者可以發送特製的HTTP請求，繞過身份驗證過程並獲得對應用程式的未授權訪問。
  • ApacheShiro身份驗證繞過高危漏洞的預警通報
    近日，Apache官方公布了Apache Shiro身份驗證繞過高危漏洞和Apache Dubbo反序列化高危漏洞。遠程攻擊者通過Apache Shiro身份驗證繞過高危漏洞可繞過身份驗證，通過Apache Dubbo反序列化高危漏洞可造成惡意代碼執行。
  • 小米攝像頭被曝存在隱私漏洞 現已被谷歌禁用
    原標題：小米攝像頭被曝存在隱私漏洞，現已被谷歌禁用記者 | 孫文豪1月3日消息，社交新聞網站Reddit用戶Dio-V曝光了自家小米攝像頭的隱私安全問題。Dio-V將小米攝像頭連接在Google Nest Hub上時，意外發現了其他人屋內的影像。
  • 雲鎖發布IIS最新高危漏洞完美修複方案
    近日，微軟公布了http.sys一處高危漏洞 CVE-2015-1635，報告稱任何安裝了微軟IIS 6.0及以上的作業系統都會受到這個漏洞的影響，包括Windows Server 2008 R2/Server 2012/Server 2012 R2以及Windows 7/8/8.1。
  • 小米攝像頭被曝隱私漏洞 為何智能硬體安全風險如此之多?
    騰訊科恩實驗室2019年年中發布的一份IOT物聯網設備安全報告顯示，在其檢測的16508個安全風險中，智能家居設備存在的安全風險數量最多。平均每一款被檢測的IOT設備包含33.96個安全風險。從安全風險按設備類型分布圖來看，攝像頭的安全風險數量僅次於路由器產品。智能攝像頭產品，被屢次爆出針對圖像數據的隱私侵犯以及未授權的入侵等安全問題。為何智能硬體安全風險如此之多？
  • 智能家居設備安全漏洞頻出,再不重視真的要「耗子尾汁」了!
    根據預測，到2025年，全球將有超過五分之一的家庭（精確地為21.3％）使用智能家居設備，舒適性，便利性，健康性，娛樂性等優勢都在加快它的普及。但是，當我們在享受智能家居帶來便利的同時，你是否真的考慮過使用它後可能存在的安全問題？
  • 奇安信CERT發布1月安全監測報告:51個漏洞威脅較大
    近日，奇安信CERT發布了2020年1月安全監測報告。今年1月，奇安信CERT共監測到2611個漏洞，根據漏洞危害級別、實際影響範圍、輿論熱度等研判標準和流程，奇安信CERT對其中51個漏洞進行了定級，較為重要的26個漏洞生成了漏洞戶口（包括基本信息、漏洞描述、利用條件、影響版本、檢測方法以及修複方法等，詳細信息可查看報告全文）。
  • 谷歌安全人員發現Poodle漏洞
    中國日報網10月17日報導（信蓮） 據ft中文網近日報導，谷歌(Goole)網絡安全研究人員在為網際網路加密的基礎軟體中發現了一個新的漏洞，並將它命名為「Poodle」。Poodle是在網際網路架構中發現的一系列漏洞中的最新一例。
  • TLS 1.2協議現漏洞,近3000網站或受影響
    雷鋒網2月12日消息，Citrix發現SSL 3.0協議的後續版本TLS 1.2協議存在漏洞，該漏洞允許攻擊者濫用Citrix的交付控制器(ADC)網絡設備來解密TLS流量。Tripwire漏洞挖掘研究小組的計算機安全研究員克雷格楊(Craig Yang)稱：「TLS 1.2存在漏洞的原因主要是由於其繼續支持一種過時已久的加密方法：密碼塊連結(cipher block-chaining, CBC)，該漏洞允許類似SSL POODLE的攻擊行為。此外，該漏洞允許中間人攻擊（簡稱：MITM攻擊）用戶的加密Web和VPN會話。」
  • 史上最大安全漏洞案和解 雅虎向2億用戶賠償3.5億元
    在此前發生的、有史以來最大的安全漏洞案中，這些人的電子郵件地址和其他個人信息被盜。這進一步加劇了安全漏洞帶來的財務影響。這次事件結束了雅虎作為獨立公司存在的狀態，其前執行長瑪麗莎·梅耶爾(Marissa Mayer)長達6年的掌舵生涯也被終結。雅虎在與美國運營商Verizon達成價值48.3億美元的數字服務出售交易後，披露了這個安全漏洞問題。隨後，該公司不得不將出售價格降低3.5億美元，以彌補出其品牌受損以及此次洩漏事件可能帶來的其他潛在成本。
  • 惠普要哭,這個LEP漏洞影響大部分用戶電腦
    2017年，有一款軟體曾被廣大網友吐槽為惠普電腦上的「間諜軟體」。然而，就在這件事涼得差不多的時候，該軟體卻因為被曝漏洞又火了一把。10月11日，安全研究人員發現惠普分析軟體存在LPE漏洞。該漏洞允許攻擊者通過預裝在多數惠普電腦上的HP Touchpoint Analytics 軟體進行提權，以此繞過安全機制進行攻擊。TouchPoint Analytics什麼鬼？
  • 被指責存在「潛在的安全隱患」後,TikTok修復了帳戶劫持安全漏洞
    前不久，TikTok被發現存在兩個安全漏洞　　總部位於北京的字節跳動公司（ByteDance）旗下的社交媒體平臺一般被大家用於分享3到60秒簡短的手機循環視頻。　　根據Google Play商店的官方統計，TikTok的Android應用程式當前安裝量已超過10億。根據Sensor Tower Store Intelligence的估計，到2020年4月，全網移動平臺的安裝量都將突破20億大關。
  • 底層防範漏洞,國密築就安全,龍芯發布CPU安全體系
    底層防範漏洞，國密築就安全，龍芯發布CPU安全體系 來源：財訊網 • 2020-08-05 14:06:40 信息安全是創新發展的重要保障，CPU是構建網絡信息系統安全防護體系的起點和根基。
  • 360 接棒後win7 時代安全 首例「致命」漏洞遭安全大腦捕殺
    近日，360安全大腦就全球首家捕捉到此次攻擊，並將其命名為「雙星」0day漏洞攻擊。儘管根據最新消息，火狐瀏覽器的0day漏洞現已被Mozilla官方修復，但是IE瀏覽器仍暴露於「雙星」漏洞攻擊威脅之中。
  • checkm8史詩級漏洞無視系統版本!運行iOS 13.1.1的iPhone X 2秒...
    因為這個版本的系統回滾了一個iOS 12.3上面修復的嚴重安全漏洞的補丁，知名安全研究者Pwn20wnd放出了一個基於這個漏洞的公開越獄工具。這也是最近的支持較新iOS版本的一次越獄事件。當然了，因為是一個軟體漏洞，蘋果很快就發布新版本系統進行了修復。
  • 蘋果又出現安全漏洞,你的電話號碼可能通過AirDrop洩露
    8月2日消息，據外媒報導，一份安全研究報告顯示蘋果又出現安全漏洞，你的電話號碼有可能通過AirDrop和共享Wi-Fi密碼洩露。研究人員表示，這一安全漏洞出現在iOS10.3.1及以後的版本中。這個漏洞的原理如下：如果有人使用AirDrop共享文件或圖像，他們會廣播其電話號碼部分加密的（SHA256）哈希值；共享Wi-Fi密碼也類似，電話號碼、用戶電子郵件地址和用戶Apple ID的部分（SHA256）哈希值會被廣播。雖然只有哈希值的前三個字節被廣播，但安全公司Hexway的研究人員表示，這些字節提供了足夠的信息來恢復完整的電話號碼。
  • 騰訊安全披露「應用克隆」漏洞 安卓主流APP中槍
    【環球網科技報導 記者 李文瑤】1月9日，由騰訊安全玄武實驗室發現的「應用克隆」這一移動攻擊威脅模型正式對外披露。據了解，基於該攻擊模型，騰訊安全玄武實驗室以某個常被廠商忽略的安全問題進行檢查，在200個移動應用中發現27個存在漏洞，比例超過10%。而這一漏洞利用方式一旦被不法分子利用，就可以輕鬆克隆獲取用戶帳戶權限，盜取用戶帳號及資金等個人隱私信息和資產。
  • Apache Solr 6.2.0 發布,Java 全文搜索伺服器
    暫無官方改進說明，持續關注：http://lucene.apache.org/solr/news.html獲取地址：http://central.maven.org/maven2/org/apache/solr/solr-core/6.2.0/
  • 谷歌硬體安全密鑰曝嚴重漏洞 可發起側信道攻擊
    谷歌硬體安全密鑰曝嚴重漏洞 可發起側信道攻擊 NinjaLab最新研究表明，擁有此類雙因子認證設備的攻擊者可以利用嵌入在Titan中晶片的電磁側信道可以對其進行克隆。
  • iPhone12出現安全漏洞,你的隱私留不住了!
    蘋果還在高興中，他們研發出了自己的電腦晶片M1，這個晶片被蘋果吹得熱火朝天，但是還沒有高興多久，這款晶片的安全問題就出來了。在我看到的這篇報導中，鵝廠的實驗室找到了M1的安全問題。騰訊玄武工作室給出的漏洞是，這款M1晶片放在他們最新的電腦裡，只要關閉系統安全，就能夠從普通的權限，進入到ROOT權限，是不是很牛？我們應該知道，晶片是最後一道防禦，如果這個被拿到了ROOT權限，那麼基本上你的電腦上所有的東西別人都知道，這個和手機是一樣的。