今天复现Apache HTTP Server请求走私漏洞(CVE-2023-25690),这里涉及到CRLF 注入,这个名字比较好记,回车(CR,\r或%0D)和换行(LF,\n或%0A),合起来就是回车换行 CRLF 注入。在Apache HTTP服务器2.4.0至2.4.55版本中,某些mod_proxy配置可能让网站遭受HTTP请求走私攻击。当使用mod_proxy与RewriteRule或ProxyPassMatch...
威胁预警团队2023/03/081. 漏洞综述1.1 漏洞背景Apache HTTP Server(简称Apache),是Apache软件基金会的一个开放源代码的网页服务器。具有的跨平台性和安全性,被广泛使用,是最流行的Web服务器端软件之一。近日,新华三攻防实验室威胁预警团队监测到Apache官方发布了安全
针对Apache HTTP Server请求走私漏洞(CVE-2023-25690)的修复,可以按照以下步骤进行: 理解漏洞成因和影响: CVE-2023-25690漏洞源于Apache HTTP Server中mod_proxy的某些配置允许HTTP请求走私攻击。 攻击者可以利用此漏洞绕过代理服务器中的访问控制,将非预期的URL代理到现有源服务器,导致缓存中毒等安全问题。 查找官方修...
Other references https://www.cve.org/CVERecord?id=CVE-2023-25690
Apache HTTP Server 请求走私漏洞 CVE-2023-25690 漏洞描述 Apache HTTP Server 版本 2.4.0 到 2.4.55 上的某些 mod_proxy 配置允许 HTTP 请求走私攻击。 启用mod_proxy 以及特定配置的 RewriteRule 或 ProxyPassMatch 模块时,当规则与用户提供的URL的某些部分匹配时,会因为变量替换从而造成代理请求目标错误 ...
CVE-2023-25690以降の Apache httpd でクエリー文字列を削除するときに、RewriteRule が URL の末尾に%3fを追加するリグレッションの問題。 mod_rewrite ドキュメントで次のように説明されています。 クエリー文字列の変更 デフォルトでは、クエリー文字列は変更せずに渡されます。 ただし、クエ...
CVE 2023 25690 Proof of concept - mod_proxy vulnerable configuration on Apache HTTP Server versions 2.4.0 - 2.4.55 leads to HTTP Request Smuggling vulnerability. - dhmosfunk/CVE-2023-25690-POC
CVE-2023-25690 Mô tả CVE-2023-25690: Một vài cấu hình mod_proxy trên Apache HTTP Server từ phiên bản 2.4.0 đến 2.4.55 cho phép tấn công HTTP Request Smuggling (kỹ thuật tấn công can thiệp vào quá trình trang web xử lý các...
Amazon Linux 2023httpd2023-03-22ALAS2023-2023-136 Amazon Linux 1httpd242023-03-20ALAS-2023-1711 CVSS Scores Score TypeScoreVector Amazon LinuxCVSSv37.5CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N NVDCVSSv39.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H...
Hello fellow DDs, sorry for wasting your valuable time, but<https://security-tracker.debian.org/tracker/CVE-2023-25690> lists"2.4.38-3+deb10u9" from Debian-10-Buster as still vulnerable. Are there any plans to back-port the change to that older version, e.g. ...