Oracle HTTP Server2026 年 4 月 CPU

high Nessus 插件 ID 309968

语言：

简介

远程主机受到多个漏洞影响

描述

如 2026 年 4 月 CPU 公告所述远程主机上安装的 HTTP Server 版本受到多个漏洞的影响。

- Oracle Fusion 中间件的 Oracle HTTP 服务器产品中的漏洞组件Core。支持的版本中受影响的是 12.2.1.4.0 和 14.1.2.0.0。此漏洞较难攻击，其允许未经身份验证的攻击者通过 HTTPS 进行网络访问，从而入侵 Oracle HTTP Server。虽然该漏洞存在于 Oracle HTTP Server 中，但攻击也会对附加产品造成巨大影响 (范围更改)。若攻击成功，攻击者可在未经授权的情况下创建、删除或修改关键数据或所有的 Oracle HTTP Server 可访问数据，并且未经授权即可访问关键数据或完整访问所有的 Oracle HTTP Server 可访问数据。(CVE-2026-34291)

- 同时启用 Server Side Includes (SSI) 和 mod_cgid（而非 mod_cgi）的 Apache HTTP Server 2.4.65 及更早版本会将 Shell 转义查询字符串传递到 #exec cmd=... 指令。此问题会影响 2.4.66 之前的 Apache HTTP Server 版本。建议用户升级到修复了此问题的版本 2.4.66。(CVE-2025-58098)

- Windows 主机上的 Apache HTTP Server 包含服务器端请求伪造 (SSRF) 漏洞，通过传递未经验证的请求输入的 mod_rewrite 或 apache 表达式可将 NTLM 哈希泄漏给恶意服务器。此问题会影响 Apache HTTP Server 2.4.0 至 2.4.63（含）。注意：Apache HTTP Server 项目将设定更高的标准，通过 UNC 路径接受有关 SSRF 的漏洞报告。对于指示服务器开放 UNC 路径的管理员，服务器提供的保护有限。Windows 服务器应根据 NTLM 身份验证的性质限制将通过 SMB 连接的主机。 (CVE-2024-43394)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。