根据其标题，远程主机上运行的 Apache 版本为低于 2.4.48 的 2.4.x。因此，该应用程序受到多个漏洞影响：

 - 与“MergeSlashes OFF”匹配的非预期 <Location> 部分 (CVE-2021-30641)

 - mod_auth_digest：验证摘要 nonce 时，一个 nul 字节可能发生堆栈溢出。(CVE-2020-35452)

 - mod_session：修复可能因空指针取消引用而造成的崩溃，攻击者可能利用此问题造成恶意后端服务器和 SessionHeader 拒绝服务。(CVE-2021-26691)

 - mod_session：修复可能因空指针取消引用而造成的崩溃，攻击者可能利用此问题造成拒绝服务。(CVE-2021-26690)

 - mod_proxy_http：修复可能因空指针取消引用而造成的崩溃，攻击者可能利用此问题造成拒绝服务。(CVE-2020-13950)

 - Windows：防止本地用户停止 httpd 进程 (CVE-2020-13938)

 - mod_proxy_wstunnel、mod_proxy_http：处理可升级协议端到端协商。(CVE-2019-17567)

 - mod_http2：修复潜在的空指针取消引用。(CVE-2021-31618)

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202107-38 中所述漏洞的影响（Apache：多个漏洞）

    已在 Apache 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    请查看供参考的 CVE 标识符，了解详细信息。
  变通方案：

    目前无任何已知的变通方案。

远程主机上安装的 httpd 版本低于 2.4.46-2。因此，该应用程序受到 ALAS2-2021-1672 公告中提及的漏洞的影响。

  - 用于 HTTP/2 协议检查的 Apache HTTP Server 协议处理程序收到的请求标头不受针对服务器配置的大小限制，并且这些请求标头也可用于 HTTP/1 协议。违反这些限制时，系统会向客户端发送 HTTP 响应，提供指示拒绝请求原因的状态代码。如果有问题的标头是脚注中接收或出现的第一个标头，则此拒绝响应不会在 HTTP/2 协议处理程序中完全初始化。这会导致初始化内存上出现空指针取消引用，无疑会导致子进程崩溃。此类触发 HTTP/2 请求易于构建和提交，因此可被用来造成服务器 DoS。此问题仅影响 mod_http2 1.15.17 和 Apache HTTP Server 版本 2.4.47 。从未发布过 Apache HTTP Server 2.4.47。(CVE-2021-31618)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程 Debian 9 主机上安装的多个程序包受到 dla-2706 公告中提及的多个漏洞影响。

    Apache HTTP Server 中有多个漏洞可导致拒绝服务攻击。此外，MergeSlashes 选项的实现可导致意外行为。
    对于 Debian 9 Stretch，已在版本 2.4.25-3+deb9u10 中修复这些问题。我们建议您升级 apache2 程序包。有关 apache2 的详细安全状态，请访问其安全跟踪页面：https://security-tracker.debian.org/tracker/apache2 有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 mod_http2 版本低于 1.15.19-1 。因此，该应用程序受到 ALAS2-2021-1678 公告中提及的漏洞的影响。

  - 用于 HTTP/2 协议检查的 Apache HTTP Server 协议处理程序收到的请求标头不受针对服务器配置的大小限制，并且这些请求标头也可用于 HTTP/1 协议。违反这些限制时，系统会向客户端发送 HTTP 响应，提供指示拒绝请求原因的状态代码。如果有问题的标头是脚注中接收或出现的第一个标头，则此拒绝响应不会在 HTTP/2 协议处理程序中完全初始化。这会导致初始化内存上出现空指针取消引用，无疑会导致子进程崩溃。由于此类触发 HTTP/2 请求易于构建和提交，因此可被用来对服务器造成 DoS。此问题仅影响 mod_http2 1.15.17 和 Apache HTTP Server 版本 2.4.47 。从未发布过 Apache HTTP Server 2.4.47。(CVE-2021-31618)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

为 Slackware 14.0、14.1、14.2 以及
当前版本提供了用于修复安全问题的新 httpd 程序包。

远程 Debian 10 主机上安装的多个程序包受到 dsa-4937 公告中提及的多个漏洞影响。

  - 在 Apache HTTP Server 版本 2.4.0 到 2.4.46 中，特别构建的摘要 nonce 可导致 mod_auth_digest 中发生堆栈溢出。没有此溢出的报告可被利用，Apache HTTP Server 团队也没有创建报告，尽管一些特定的编译器和/或编译选项可以生成报告，但溢出的大小（单个字节）和值（零字节）造成后果有限 (CVE-2020-35452)

  - Apache HTTP Server 版本 2.4.0 到 2.4.46 由 mod_session 处理的特别构建的 Cookie 标头可造成空指针取消引用和崩溃，进而可能导致拒绝服务 (CVE-2021-26690)

  - 在 Apache HTTP Server 2.4.0 到 2.4.46 中，源服务器发送的特别构建的 SessionHeader 可造成堆溢出 (CVE-2021-26691)

  - Apache HTTP Server 版本 2.4.39 到 2.4.46 “MergeSlashes OFF”的意外匹配行为 (CVE-2021-30641)

  - 用于 HTTP/2 协议检查的 Apache HTTP Server 协议处理程序收到的请求标头不受针对服务器配置的大小限制，并且这些请求标头也可用于 HTTP/1 协议。违反这些限制时，系统会向客户端发送 HTTP 响应，提供指示拒绝请求原因的状态代码。如果有问题的标头是脚注中接收或出现的第一个标头，则此拒绝响应不会在 HTTP/2 协议处理程序中完全初始化。这会导致初始化内存上出现空指针取消引用，无疑会导致子进程崩溃。此类触发 HTTP/2 请求易于构建和提交，因此可被用来造成服务器 DoS。此问题仅影响 mod_http2 1.15.17 和 Apache HTTP Server 版本 2.4.47 。从未发布过 Apache HTTP Server 2.4.47。(CVE-2021-31618)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Apache httpd 版本低于 2.4.48。因此，该应用程序受到 2.4.48 更新日志中提及的一个漏洞的影响。

  - mod_http2：修复潜在的空指针取消引用 (CVE-2021-31618)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程主机上安装的 httpd 版本低于 2.4.48-1。因此，如公告 ALAS2-2021-1659 所述，该主机受到多个漏洞的影响。

  - Apache HTTP Server 版本 2.4.6 到 2.4.46 在没有必要通过源服务器升级的 URL 上配置的 mod_proxy_wstunnel 无论如何都会通过隧道构建整个连接，从而允许在可能没有配置 HTTP 验证、身份验证或授权的情况下传递相同连接上的后续请求。(CVE-2019-17567)

  - Apache HTTP Server 版本 2.4.0 到 2.4.46 非特权本地用户可停止 Windows 上的 httpd (CVE-2020-13938)

   -Apache HTTP Server 版本 2.4.41 到 2.4.46 可通过使用 Content-Length 和 Transfer-Encoding 标头，借助特别构建的请求使 mod_proxy_http 崩溃（空指针取消引用），从而导致拒绝服务 (CVE-2020-13950)

  - Apache HTTP Server 版本 2.4.0 到 2.4.46 特别构建的摘要信息可导致 mod_auth_digest 中出现堆栈溢出。没有此溢出的报告可被利用，Apache HTTP Server 团队也没有创建报告，尽管一些特定的编译器和/或编译选项可以生成报告，但溢出的大小（单个字节）和值（零字节）造成后果有限 (CVE-2020-35452)

  - Apache HTTP Server 版本 2.4.0 到 2.4.46 由 mod_session 处理的特别构建的 Cookie 标头可造成空指针取消引用和崩溃，进而可能导致拒绝服务 (CVE-2021-26690)

  - 在 Apache HTTP Server 2.4.0 到 2.4.46 中，源服务器发送的特别构建的 SessionHeader 可造成堆溢出 (CVE-2021-26691)

  - Apache HTTP Server 版本 2.4.39 到 2.4.46 “MergeSlashes OFF”的意外匹配行为 (CVE-2021-30641)

  - 用于 HTTP/2 协议检查的 Apache HTTP Server 协议处理程序收到的请求标头不受针对服务器配置的大小限制，并且这些请求标头也可用于 HTTP/1 协议。违反这些限制时，系统会向客户端发送 HTTP 响应，提供指示拒绝请求原因的状态代码。如果有问题的标头是脚注中接收或出现的第一个标头，则此拒绝响应不会在 HTTP/2 协议处理程序中完全初始化。这会导致初始化内存上出现空指针取消引用，无疑会导致子进程崩溃。此类触发 HTTP/2 请求易于构建和提交，因此可被用来造成服务器 DoS。此问题仅影响 mod_http2 1.15.17 和 Apache HTTP Server 版本 2.4.47 。从未发布过 Apache HTTP Server 2.4.47。(CVE-2021-31618)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
112806	Apache 2.4.x < 2.4.48 多个漏洞	Web App Scanning	Component Vulnerability	2021/6/15	2023/3/14	critical
156972	GLSA-202107-38：Apache：多个漏洞	Nessus	Gentoo Local Security Checks	2022/1/24	2022/1/26	critical
150994	Amazon Linux 2：httpd (ALAS-2021-1672)	Nessus	Amazon Linux Local Security Checks	2021/6/24	2024/12/11	high
151486	Debian DLA-2706-1：apache2 - LTS 安全更新	Nessus	Debian Local Security Checks	2021/7/9	2025/1/24	critical
151277	Amazon Linux 2：mod_http2 (ALAS-2021-1678)	Nessus	Amazon Linux Local Security Checks	2021/7/1	2024/12/11	high
150334	Slackware 14.0 / 14.1 / 14.2 / 当前版本：httpd (SSA:2021-158-01)	Nessus	Slackware Local Security Checks	2021/6/8	2021/6/10	critical
151485	Debian DSA-4937-1：apache2 - 安全更新	Nessus	Debian Local Security Checks	2021/7/9	2021/9/24	critical
150244	Apache 2.4.x < 2.4.48 漏洞	Nessus	Web Servers	2021/6/4	2022/4/11	high
150983	Amazon Linux 2：httpd (ALAS-2021-1659)	Nessus	Amazon Linux Local Security Checks	2021/6/24	2024/12/11	critical

检测

插件搜索

critical

critical

high

critical

high

critical

critical

high

critical