MagicLinux 7httpd-2.4.6-99.1.0.2.el7.AXS7 (AXSA:2024-8700:04)
critical Nessus 插件 ID 293077
语言：
简介
远程iraclelinux 主机缺少一个或多个安全更新。描述
远程iraclelinux 7 主机上存在安装的程序包该程序包受到 AXSA:2024-8700:04 公告中提及的多个漏洞的影响。* CVE-2024-38474mod_rewrite向后引用中具有编码问号的服务器漏洞
* CVE-2024-38475mod_rewrite当替换的首个段匹配文件系统路径时 mod_rewrite 中的服务器漏洞
* CVE-2024-38477mod_proxy通过恶意请求在 mod_proxy 中导致拒绝服务崩溃
* CVE-2024-38476http服务器通过内部重定向使用可利用/恶意的后端应用程序输出来运行本地处理程序
* CVE-2024-39573mod_rewrite代理处理程序替换 CVE
CVE-2024-38474 和更早版本的 Apache HTTP Server 2.4.59 中 mod_rewrite 的替换编码问题允许攻击者在配置允许的目录中执行脚本但不能通过任何 URL 直接访问或者泄露本应仅作为 CGI 执行的脚本的来源。建议用户升级为已修复此问题的 2.4.60 版。一些不安全捕获和替换的 RewriteRules 现在将失败，除非指定重写标记 UnsafeAllow3F。
CVE-2024-38475 在 Apache HTTP Server 2.4.59 和更早版本中mod_rewrite 中的输出未正确转义允许攻击者将 URL 映射到服务器允许服务但任何 URL 都无法特意/直接访问的文件系统位置从而导致代码执行或源代码泄露。
服务器环境中使用向后引用或变量作为替换的第一段的替换会受到影响。一些不安全的 RewiteRules 会因此更改而中断，并且在确保适当限制替换后，可使用重写标记 UnsafePrefixStat 选择重新加入。
Apache HTTP Server 2.4.59 核心中的漏洞CVE-2024-38476 ] 和更早版本容易受到信息泄露、SSRF 或通过响应头恶意或可利用的后端应用程序执行本地脚本的影响。建议用户升级为已修复此问题的 2.4.60 版。
CVE-2024-38477 在 Apache HTTP Server 2.4.59 和更早版本中mod_proxy 中的空指针取消引用允许攻击者通过恶意请求造成服务器崩溃。建议用户升级为已修复此问题的 2.4.60 版。
CVE-2024-39573 在 Apache HTTP Server 2.4.59 和更早版本中mod_rewrite 的潜在 SSRF允许攻击者导致不安全的 RewriteRules意外设置将由 mod_proxy 处理的 URL。建议用户升级为已修复此问题的 2.4.60 版。
Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的程序包。另见
插件详情
严重性: Critical
ID: 293077
文件名: miracle_linux_AXSA-2024-8700.nasl
版本: 1.1
类型: local
发布时间: 2026/1/20
最近更新时间: 2026/1/20
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
Vendor
Vendor Severity: High
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 8.3
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2024-38476
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 9.1
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:F/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:miracle:linux:mod_ssl, p-cpe:/a:miracle:linux:httpd, cpe:/o:miracle:linux:7, p-cpe:/a:miracle:linux:httpd-tools, p-cpe:/a:miracle:linux:mod_session, p-cpe:/a:miracle:linux:httpd-devel, p-cpe:/a:miracle:linux:httpd-manual
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list
可利用: true
易利用性: Exploits are available
补丁发布日期: 2024/8/26
漏洞发布日期: 2024/7/1
CISA 已知可遭利用的漏洞到期日期: 2025/5/22
参考资料信息
CVE: CVE-2024-38474, CVE-2024-38475, CVE-2024-38476, CVE-2024-38477, CVE-2024-39573