PT-2024-4434 · Apache+10 · Apache Http Server+10
Orange_8361
·
Publicado
2021-11-09
·
Atualizado
2026-04-30
·
CVE-2024-38475
CVSS v2.0
9.4
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:N |
Nome do software vulnerável e versões afetadas
Versões 2.4.59 e anteriores do servidor HTTP Apache
Descrição
A vulnerabilidade é causada por um escape inadequado da saída no módulo mod rewrite do servidor HTTP Apache. Isso permite que um invasor mapeie URLs para locais do sistema de arquivos que têm permissão para serem servidos pelo servidor, mas que não são intencionalmente ou diretamente acessíveis por qualquer URL, resultando na execução de código ou na divulgação do código-fonte. Substituições no contexto do servidor que utilizam referências anteriores ou variáveis como o primeiro segmento da substituição são afetadas. Algumas regras RewriteRules inseguras serão prejudicadas por essa alteração, e o sinalizador de reescrita “UnsafePrefixStat” pode ser utilizado para reativá-las, desde que se garanta que a substituição esteja devidamente restrita. A vulnerabilidade já foi explorada em ambiente real, com relatos de acesso não autorizado a arquivos e potencial sequestro de sessão.
Recomendações
Apache HTTP Server 2.4.59 e versões anteriores: atualize para o Apache HTTP Server 2.4.60 ou posterior para corrigir a vulnerabilidade.
Como solução alternativa temporária, considere desativar o módulo mod rewrite ou restringir seu uso para minimizar o risco de exploração.
Restrinja o acesso ao módulo mod rewrite para minimizar o risco de exploração.
Evite usar substituições no contexto do servidor que utilizem referências anteriores ou variáveis como o primeiro segmento da substituição até que o problema seja resolvido.
Exploit
Correção
RCE
Improper Encoding or Escaping of Output
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Apache Http Server
Astra Linux
Centos
Linuxmint
Red Hat
Red Os
Rocky Linux
Suse
Ubuntu