在 Apache HTTP Server 2.3.x 版和 2.4.10 及之前的 2.4.x 版中，mod_lua 模块中的 mod_lua.c 并不支持同一 Lua 授权提供程序用于不同上下文中不同参数的 httpd 配置，远程攻击者可借此通过利用多条 Require 指令，在有机会时绕过预期访问限制，这已通过指定一个组授权访问某个目录，并授权第二组访问第二个目录的配置证实 (CVE-2014-8109)。

当处理使用分块编码的请求时，在 httpd 处理 HTTP 尾部标头的方式中发现一个缺陷。恶意客户端可使用尾部标头在其他模块执行了标头处理之后设置附加 HTTP 标头。例如，这可导致绕过 mod_headers 定义的标头限制。
(CVE-2013-5704)

在 mod_cache httpd 模块处理 Content-Type 标头的方式中发现空指针取消引用缺陷。将 Apache HTTP server 配置为指向启用了缓存的服务器的代理时，恶意 HTTP 服务器可造成 httpd 子进程崩溃。
(CVE-2014-3581)

在 Apache HTTP Server 2.4.10 中，mod_proxy_fcgi 模块的 mod_proxy_fcgi.c 中的 handle_headers 函数允许远程 FastCGI 服务器通过长响应标头造成拒绝服务（缓冲区过度读取和后台程序崩溃）。(CVE-2014-3583)

检测

Amazon Linux AMI：httpd24 (ALAS-2015-483)

medium Nessus 插件 ID 81329

未找到变更日志