远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2021:1809 中提及的多个漏洞的影响。

  - 在 2.4.37 和之前版本的 Apache HTTP Server 2.4 中，mod_session 会在解码会话前检查会话到期时间。这会导致忽略 mod_session_cookie 会话的会话到期时间，因为到期时间在会话解码时才加载。(CVE-2018-17199)

  - Apache HTTP Server 2.4.32 到 2.4.44 mod_proxy_uwsgi 信息泄露和可能的 RCE (CVE-2020-11984)

  - Apache HTTP Server 版本 2.4.20 到 2.4.43 当为 HTTP/2 模块和某些流量边缘模式启用跟踪/调试时，会在错误的连接上执行日志记录语句，导致并发使用内存池。将 mod_http2 的 LogLevel 配置为 info 以上可缓解未修复服务器的漏洞。(CVE-2020-11993)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Rocky Linux 8 httpd:2.4 (RLSA-2021:1809)

critical Nessus 插件 ID 184496

版本 1.0