PT-2025-49184 · Apache+10 · Apache Http Server+10

Mattias Åsander · Publicado 2025-01-01 · Atualizado 2026-05-28 · CVE-2025-66200

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.5

Média

Vetor base

AV:N/AC:L/Au:S/C:N/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas Apache HTTP Server versões 2.4.7 a 2.4.65

Descrição Existe uma falha no Apache HTTP Server na qual é possível contornar o mod userdir+suexec através da funcionalidade AllowOverride FileInfo. Indivíduos com a capacidade de utilizar a diretiva RequestHeader dentro de um arquivo htaccess podem potencialmente fazer com que scripts CGI sejam executados sob um ID de usuário não pretendido.

Recomendações Atualize para a versão 2.4.66 para resolver este problema.

Correção

Authentication Bypass Using an Alternate Path or Channel

Enumeração de Fraquezas

CWE-288

Identificadores relacionados

ALSA-2025:23732

ALSA-2025:23919

ALSA-2025:23932

AZL-71528

AZL-71590

BDU:2025-15638

BIT-APACHE-2025-66200

CVE-2025-66200

MGASA-2025-0322

OESA-2026-1527

OESA-2026-1528

OESA-2026-1529

OESA-2026-1592

OESA-2026-1593

OPENSUSE-SU-2025:15808-1

OPENSUSE-SU-2026:20030-1

OPENSUSE-SU-2026:20810-1

RHSA-2026:2994

RHSA-2026:5156

SUSE-SU-2025:4488-1

SUSE-SU-2025:4518-1

SUSE-SU-2026:0019-1

SUSE-SU-2026:0020-1

SUSE-SU-2026:20081-1

SUSE-SU-2026:21846-1

USN-7968-1

USN-8338-1

Produtos afetados

Alt Linux

Almalinux

Apache Http Server

Centos

Debian

Linuxmint

Apple Macos

Red Hat

Red Os

Rocky Linux

Ubuntu

Referências · 122

• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/uyazvimost-httpd-cve-2025-66200-7.3 · Nota
• https://ubuntu.com/security/CVE-2023-38709 · Aviso do Fabricante
• https://ubuntu.com/security/notices/USN-7968-2 · Aviso do Fabricante
• https://t.me/msrcreports/2734 · Publicação no Telegram
• https://httpd.apache.org/security/vulnerabilities_24.html · Aviso do Fabricante
• https://linux.oracle.com/errata/ELSA-2025-23732.html · Aviso do Fabricante
• https://bugzilla.suse.com/1254511 · Nota
• https://bugs.mageia.org/show_bug.cgi?id=34803 · Nota
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-66200 · Nota
• https://access.redhat.com/security/cve/CVE-2025-66200 · Nota
• https://wiki.astralinux.ru/astra-linux-se17-bulletin-2026-0421SE17 · Aviso do Fabricante
• https://osv.dev/vulnerability/SUSE-SU-2025:4518-1 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2025-55753 · Nota
• https://errata.almalinux.org/8/ALSA-2025-23732.html · Aviso do Fabricante
• https://security.alpinelinux.org/vuln/CVE-2025-66200 · Nota