根据其标题，远程主机上运行的 Apache 版本为低于 2.4.64 的 2.4.x。因此，该应用程序受到多个漏洞的影响：

- Apache HTTP Server 核心中的 HTTP 响应拆分允许能够操纵服务器托管或代理的应用程序的 Content-Type 响应头的攻击者拆分 HTTP 响应。（CVE-2024-42516）

- 加载 mod_proxy 的 Apache HTTP Server 中的服务器端请求伪造 （SSRF） 允许攻击者向攻击者控制的 URL 发送出站代理请求。（CVE-2024-43204）

- Windows 上 Apache HTTP Server 中的服务器端请求伪造 （SSRF） 允许通过传递未经验证的请求输入的 mod_rewrite 或 apache 表达式，可能将 NTLM 哈希泄漏给恶意服务器。（CVE-2024-43394）

- 在 Apache HTTP Server 2.4.63 和更早版本中，用户在 mod_ssl 中提供的数据转义不足，允许不信任的 SSL/TLS 客户端在某些配置中将转义字符插入日志文件。（CVE-2024-47252）

- 在 Apache HTTP Server 2.4.35 到 之前的 2.4.62某些mod_ssl配置中，可使用 TLS 1.3 会话恢复让受信任的客户端绕过访问控制。（CVE-2025-23048）

- 在某些代理配置中，不受信任的客户端可触发针对 Apache HTTP Server 各版本 2.4.26 的 2.4.63 拒绝服务攻击，从而造成mod_proxy_http2断言。（CVE-2025-49630）

- 在 Apache HTTP Server 至 2.4.63版本上的某些 mod_ssl 配置中，HTTP 去同步攻击允许中间人攻击者通过 TLS 升级劫持 HTTP 会话。（CVE-2025-49812）

- Apache HTTP Server 中的有效生命周期后延迟内存释放漏洞。（CVE-2025-53020）

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

根据其自我报告的版本远程主机上运行的 Tenable Security Center 版本低于修补程序 SC-202508.1 的版本 6.6.0 。因此如公告 TNS-2025-17 所述受到多个漏洞的影响。

  - 在 Apache HTTP Server 2.4.35 到 到 2.4.63上的某些 mod_ssl 配置中受信任的客户端可能使用 TLS 1.3 会话恢复绕过访问控制。为多个虚拟主机配置 mod_ssl 时，配置会受到影响，其中每个虚拟主机都受到一组不同的受信任客户端证书（例如具有不同 SSLCACertificateFile/Path 设置）的限制。在这种情况下，如果任一虚拟主机中未启用 SSLStrictSNIVHostCheck，受信任可访问一个虚拟主机的客户端可能可以访问另一个虚拟主机。(CVE-2025-23048)

  - Apache HTTP Server 核心存在 HTTP 响应拆分漏洞，攻击者若能操纵服务器托管或代理的应用程序的 Content-Type 响应标头，就能够拆分 HTTP 响应。
    此漏洞被描述为 CVE-2023-38709，但 Apache HTTP Server 2.4.59 中包含的补丁未解决该问题。建议用户升级为已修复此问题的 2.4.64 版。
    (CVE-2024-42516)

  - 在加载了 mod_proxy 的情况下，Apache HTTP Server 中的 SSRF 允许攻击者将出站代理请求发送到由其控制的 URL。所需配置不太可能实现，其中需将 mod_headers 配置为使用 HTTP 请求中提供的值修改 Content-Type 请求或响应标头。建议用户升级为已修复此问题的 2.4.64 版。(CVE-2024-43204)

  - Apache HTTP Server 2.4.63 及更早版本的 mod_ssl 中存在用户提供的数据转义不充分漏洞，在某些配置中，不受信任的 SSL/TLS 客户端可以向日志文件插入转义字符。在使用 CustomLog 与 %{varname}x 或 %{varname}c 记录 mod_ssl 所提供变量（如 SSL_TLS_SNI）的日志记录配置中，mod_log_config 或 mod_ssl 未执行任何转义，且客户端提供的未审查的数据可能出现在日志文件中。(CVE-2024-47252)

  - 在某些代理配置中，不受信任的客户端可触发 mod_proxy_http2 中的断言，对 Apache HTTP Server 2.4.26 至 2.4.63 版发动拒绝服务攻击。
    受影响的配置包括为 HTTP/2 后端配置反向代理，并将 ProxyPreserveHost 设置为 on。(CVE-2025-49630)

  - 在 Apache HTTP Server 版 至 2.4.63上的某些 mod_ssl 配置中HTTP 去同步攻击允许中间人攻击者通过 TLS 升级劫持 HTTP 会话。仅使用 SSLEngine（可选）来启用 TLS 升级的配置会受到影响。建议用户升级为已移除 TLS 升级支持的 2.4.64 版。(CVE-2025-49812)

  - Apache HTTP Server 中的在有效生命周期后延迟内存释放的漏洞。此问题影响 Apache HTTP Server 2.4.17 至 2.4.63。建议用户升级到修复了此问题的版本 2.4.64。(CVE-2025-53020)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 httpd 版本低于 2.4.64。因此，如公告 SSA:2025-192-02 所述，其会受到多个漏洞影响。

    Slackware 15.0 以及当前版本有新的 httpd 程序包可用于修复安全问题。

Tenable 已直接从 httpd 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Apache httpd 版本低于 2.4.64。因此，该软件受到 2.4.64 公告中提及的多个漏洞影响。

  - 在 Apache HTTP Server 2.4.35 到 2.4.63 的某些 mod_ssl 配置中，受信任的客户端可能利用 TLS 1.3 会话恢复造成访问控制绕过。为多个虚拟主机配置 mod_ssl 时，配置会受到影响，其中每个虚拟主机都受到一组不同的受信任客户端证书（例如具有不同 SSLCACertificateFile/Path 设置）的限制。在这种情况下，如果任一虚拟主机中未启用 SSLStrictSNIVHostCheck，受信任可访问一个虚拟主机的客户端可能可以访问另一个虚拟主机。(CVE-2025-23048)

  - Apache HTTP Server 核心存在 HTTP 响应拆分漏洞，攻击者若能操纵服务器托管或代理的应用程序的 Content-Type 响应标头，就能够拆分 HTTP 响应。
    此漏洞被描述为 CVE-2023-38709，但 Apache HTTP Server 2.4.59 中包含的补丁未解决该问题。建议用户升级为已修复此问题的 2.4.64 版。
    (CVE-2024-42516)

  - 在加载了 mod_proxy 的情况下，Apache HTTP Server 中的 SSRF 允许攻击者将出站代理请求发送到由其控制的 URL。所需配置不太可能实现，其中需将 mod_headers 配置为使用 HTTP 请求中提供的值修改 Content-Type 请求或响应标头。建议用户升级为已修复此问题的 2.4.64 版。(CVE-2024-43204)

  - Windows 主机上的 Apache HTTP Server 包含服务器端请求伪造 (SSRF) 漏洞，通过传递未经验证的请求输入的 mod_rewrite 或 apache 表达式可将 NTLM 哈希泄漏给恶意服务器。此问题会影响 Apache HTTP Server 2.4.0 至 2.4.63（含）。注意：Apache HTTP Server 项目将设定更高的标准，通过 UNC 路径接受有关 SSRF 的漏洞报告。对于指示服务器开放 UNC 路径的管理员，服务器提供的保护有限。Windows 服务器应根据 NTLM 身份验证的性质，限制通过 SMB 连接的主机。
    (CVE-2024-43394)

  - Apache HTTP Server 2.4.63 及更早版本的 mod_ssl 中存在用户提供的数据转义不充分漏洞，在某些配置中，不受信任的 SSL/TLS 客户端可以向日志文件插入转义字符。在使用 CustomLog 与 %{varname}x 或 %{varname}c 记录 mod_ssl 所提供变量（如 SSL_TLS_SNI）的日志记录配置中，mod_log_config 或 mod_ssl 未执行任何转义，且客户端提供的未审查的数据可能出现在日志文件中。(CVE-2024-47252)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 HTTP 服务器版本受到 2026 年 1 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Fusion Middleware 的 Oracle HTTP Server、Oracle Weblogic Server Proxy Plug-in 产品组件Weblogic Server Proxy Plug-in for Apache HTTP Server、Weblogic Server Proxy Plug-in for IIS中存在漏洞。支持的版本中受影响的是 12.2.1.4.0、14.1.1.0.0 和 14.1.2.0.0。可轻松利用的漏洞允许具有网络访问权限的未经身份验证的攻击者通过 HTTP 破坏 Oracle HTTP Server、Oracle Weblogic Server Proxy Plug-in。虽然漏洞存在于 Oracle HTTP Server、Oracle Weblogic Server Proxy Plug-in 中但攻击也可能会严重影响其他产品范围变更。成功攻击此漏洞可导致在未经授权的情况下创建、删除或修改访问重要数据或所有 Oracle HTTP Server、Oracle Weblogic Server Proxy Plug-in 可访问数据以及未经授权访问所有 Oracle HTTP Server 的关键数据或完整访问权限Oracle Weblogic Server Proxy Plug-in 可访问数据。注意：受影响的 Weblogic Server Proxy Plug-in for IIS 版本仅为 12.2.1.4.0 。
    (CVE-2026-21962)

  - Oracle Fusion Middleware 的 Oracle HTTP Server 产品中的漏洞组件SSL 模块 (Apache HTTP Server)。支持的版本中受影响的是 14.1.2.0.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 TLS 进行网络访问，从而破坏 Oracle HTTP Server。若攻击成功，攻击者可在未经授权的情况下创建、删除或修改关键数据或所有的 Oracle HTTP Server 可访问数据，并且未经授权即可访问关键数据或完整访问所有的 Oracle HTTP Server 可访问数据。(CVE-2025-23048)

  - Oracle Fusion Middleware 的 Oracle HTTP Server 产品中的漏洞组件Core (libxml2)。
    支持的版本中受影响的是 12.2.1.4.0 和 14.1.2.0.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Oracle HTTP Server。成功攻击此漏洞可导致在未经授权的情况下创建、删除或修改关键数据或所有 Oracle HTTP Server 可访问数据的访问权限并在未经授权的情况下造成 Oracle HTTP Server 挂起或频繁而重复的崩溃完整 DOS。CVE-2025-49794、 CVE-2025-49795、 CVE-2025-49796

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 HTTP 服务器版本受到 2026 年 1 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Fusion Middleware 的 Oracle HTTP Server、Oracle Weblogic Server Proxy Plug-in 产品组件Weblogic Server Proxy Plug-in for Apache HTTP Server、Weblogic Server Proxy Plug-in for IIS中存在漏洞。支持的版本中受影响的是 12.2.1.4.0、14.1.1.0.0 和 14.1.2.0.0。可轻松利用的漏洞允许具有网络访问权限的未经身份验证的攻击者通过 HTTP 破坏 Oracle HTTP Server、Oracle Weblogic Server Proxy Plug-in。虽然漏洞存在于 Oracle HTTP Server、Oracle Weblogic Server Proxy Plug-in 中但攻击也可能会严重影响其他产品范围变更。成功攻击此漏洞可导致在未经授权的情况下创建、删除或修改访问重要数据或所有 Oracle HTTP Server、Oracle Weblogic Server Proxy Plug-in 可访问数据以及未经授权访问所有 Oracle HTTP Server 的关键数据或完整访问权限Oracle Weblogic Server Proxy Plug-in 可访问数据。注意：受影响的 Weblogic Server Proxy Plug-in for IIS 版本仅为 12.2.1.4.0 。
    (CVE-2026-21962)

  - Oracle Fusion Middleware 的 Oracle HTTP Server 产品中的漏洞组件Core (libxml2)。
    支持的版本中受影响的是 12.2.1.4.0 和 14.1.2.0.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Oracle HTTP Server。成功攻击此漏洞可导致在未经授权的情况下创建、删除或修改关键数据或所有 Oracle HTTP Server 可访问数据的访问权限并在未经授权的情况下造成 Oracle HTTP Server 挂起或频繁而重复的崩溃完整 DOS。CVE-2025-49794、 CVE-2025-49795、 CVE-2025-49796

  - Oracle Fusion Middleware 的 Oracle HTTP Server 产品中的漏洞（组件：Core (LibExpat)）。
    支持的版本中受影响的是 12.2.1.4.0 和 14.1.2.0.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Oracle HTTP Server。如果攻击成功，攻击者可在未经授权的情况下造成 Oracle HTTP Server 挂起或频繁崩溃（完全 DOS）。(CVE-2025-59375)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Azure Linux 3.0 主机上安装的 httpd 版本低于 测试的版本。因此，该程序受到 CVE-2024-43204 公告中提及的一个漏洞影响。

  - 在加载了 mod_proxy 的情况下，Apache HTTP Server 中的 SSRF 允许攻击者将出站代理请求发送到由其控制的 URL。所需配置不太可能实现，其中需将 mod_headers 配置为使用 HTTP 请求中提供的值修改 Content-Type 请求或响应标头。建议用户升级为已修复此问题的 2.4.64 版。(CVE-2024-43204)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 httpd 版本低于 2.4.65。因此，如公告 SSA:2025-204-01 所述，其会受到多个漏洞影响。

    Slackware 15.0 以及当前版本有新的 httpd 程序包可用于修复安全问题。

Tenable 已直接从 httpd 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2025-1125 公告中提及的多个漏洞影响。

    如果攻击者能够操纵由服务器托管或代理的应用程序的 Content-Type 响应头则可以拆分 HTTP 响应Apache HTTP Server 核心中的 HTTP 响应拆分。

    此漏洞被描述为 CVE-2023-38709，但 Apache HTTP Server 2.4.59 中包含的补丁未解决该问题。

    建议用户升级为已修复此问题的 2.4.64 版。(CVE-2024-42516)

    加载了 mod_proxy 的 Apache HTTP Server 中的 SSRF 允许攻击者向自己控制的 URL 发送出站代理请求。所需配置不太可能实现，其中需将 mod_headers 配置为使用 HTTP 请求中提供的值修改 Content-Type 请求或响应标头。

    建议用户升级为已修复此问题的 2.4.64 版。(CVE-2024-43204)

    Apache HTTP Server 2.4.63 和更早版本中的 mod_ssl 中用户提供的数据转义不充分允许不受信任的 SSL/TLS 客户端将转义字符插入到某些配置的日志文件中。

    在使用 CustomLog 与 %{varname}x 或 %{varname}c 记录 mod_ssl 所提供变量（如 SSL_TLS_SNI）的日志记录配置中，mod_log_config 或 mod_ssl 未执行任何转义，且客户端提供的未审查的数据可能出现在日志文件中。(CVE-2024-47252)

    在 Apache HTTP Server 上的某些 mod_ssl 配置中 2.4.35 到 到 2.4.63受信任的客户端可能会使用 TLS 1.3 会话恢复绕过访问控制。

    为多个虚拟主机配置了 mod_ssl其中每个虚拟主机仅限使用一组不同的受信任客户端证书例如具有不同的 SSLCACertificateFile/Path 设置时配置会受到影响。在这种情况下如果未在任一虚拟主机中启用 SSLStrictSNIVHostCheck则受信任可以访问一个虚拟主机的客户端可能会访问另一个虚拟主机。 (CVE-2025-23048)

    在某些代理配置中不受信任的客户端可能会触发针对 Apache HTTP Server 版本 2.4.26 到 至 2.4.63 的拒绝服务攻击进而在 mod_proxy_http2 中造成断言。

    受影响的配置包括为 HTTP/2 后端配置反向代理，并将 ProxyPreserveHost 设置为 on。(CVE-2025-49630)

    在 Apache HTTP Server 版 至 2.4.63版的某些 mod_ssl 配置中HTTP 去同步攻击允许中间人攻击者通过 TLS 升级劫持 HTTP 会话。

    只有使用 SSLEngine 可选以启用 TLS 升级的配置会受到影响。建议用户升级到版本 2.4.64其删除了对 TLS 升级的支持。 (CVE-2025-49812)

    Apache HTTP Server 中的有效生命周期后延迟内存释放漏洞。

    此问题影响 Apache HTTP Server 版本 2.4.17 至 2.4.63。

    建议用户升级到修复了此问题的版本 2.4.64。(CVE-2025-53020)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4270 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4270-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 8 月 12 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包apache2 版本 2.4.65-1~deb11u1 CVE ID CVE-2024-42516 CVE-2024-43204 CVE-2024-43394 CVE-2024-47252 CVE-2025-23048 CVE-2025-49630 CVE-2025-49812 CVE-2025-53020 CVE-2025-54090

    已解决广泛使用的 Web 服务器 Apache 中的多种漏洞。

    请注意此 DLA 中包含的针对 CVE-2025-23048的补丁可能导致某些启用了 SSL 的网站遇到错误 AH02032。
    此公告的末尾提供了其他详细信息。

    CVE-2024-42516

        Apache HTTP Server 核心中的 HTTP 响应拆分允许攻击者如果能够操纵由服务器托管或代理的应用程序的 Content-Type 响应头就可以拆分 HTTP 响应

    CVE-2024-43204

        在加载 mod_proxy 的 Apache HTTP Server 中发现一个 SSRF服务器端请求伪造允许攻击者向由攻击者控制的 URL 发送出站代理请求。
        这种攻击需要不太可能的配置其中 mod_headers 被配置为使用 HTTP 请求中提供的值修改 Content-Type 请求或响应标头

    CVE-2024-43394

        Windows 上 Apache HTTP Server 中的服务器端请求伪造 (SSRF) 允许通过传递未经验证请求输入的 mod_rewrite 或 apache 表达式可能将 NTLM 哈希泄漏给恶意服务器。

    CVE-2024-47252

        在 mod_ssl 中不充分转义用户提供的数据允许不受信任的 SSL/TLS 客户端将转义字符插入到某些配置中的日志文件中。在日志记录配置中其中 CustomLog 与 %{varname}x 或 %{varname}c 一起使用以记录 mod_ssl 提供的变量例如 SSL_TLS_SNImod_log_config 或 mod_ssl 不执行转义并且客户端提供的未审查数据可能出现在日志文件中。

    CVE-2025-23048

        使用 TLS 1.3 会话恢复可能由受信任的客户端绕过访问控制。为多个虚拟主机配置 mod_ssl 时，配置会受到影响，其中每个虚拟主机都受到一组不同的受信任客户端证书（例如具有不同 SSLCACertificateFile/Path 设置）的限制。
        在这种情况下如果未在任一虚拟主机中启用 SSLStrictSNIVHostCheck则受信任可以访问一个虚拟主机的客户端可能会访问另一个虚拟主机。

    CVE-2025-49630

        在某些代理配置中不受信任的客户端可触发针对 Apache HTTP Server 的拒绝服务攻击进而在 mod_proxy_http2 中造成断言。受影响的配置是为 HTTP/2 后端配置反向代理且 ProxyPreserveHost 设为 on。

    CVE-2025-49812

        在 Apache HTTP Server 上的某些 mod_ssl 配置中HTTP 去同步攻击允许中间人攻击者通过 TLS 升级劫持 HTTP 会话。仅使用 SSLEngine（可选）来启用 TLS 升级的配置会受到影响。
        已删除对 TLS 升级的支持。

    CVE-2025-53020

        在 Apache HTTP Server 中发现在有效生命周期漏洞后延迟内存释放。

    CVE-2025-54090

        Apache HTTP Server 2.4.64 中的缺陷导致所有 RewriteCond expr ... 测试的评估结果为 true

    对于 Debian 11 Bullseye这些问题已在 2.4.65-1~deb11u1 版本中修复。

    请注意在解决 CVE-2025-23048后一些启用了 SSL 的网站可能开始遇到错误 (AH02032)

        错误定向的请求
        客户端针对此请求需要一个新的连接，因为请求的主机名与用于此连接的服务器名称指示 (SNI) 不匹配。

    此行为在使用 AWS Application Load Balancer 时尤其明显。尽管它们支持智能 SNI 处理但截至撰写本文时它们并未将 SNI 数据中继到目标服务器这可在主机名不一致时导致连接失败。

    如果没有客户端提供的 SNI则每当同一个 IP:port 上有多个 vhost 监听时httpd 就无法确定应该使用哪个 vhost/配置来提供正确的证书以及最终的 TLS 认证。

    这是因为 HTTP 主机标头的读取一定要在 TLS 握手/认证/解密之后发生（TLSv1.3 无法提供更晚版本的重新协商选项）。

    因此这些连接会回退到在 TLS 握手部分的 IP:port 上声明的第一个 vhost如果请求主机标头最终匹配具有不同 TLS 配置的不同 vhost则会遭到拒绝 AH02032。

    在低于 2.4.64 的版本中检查不准确且允许这样做但存在安全隐患。

    作为变通方案，您可以在风险分析后生成通配符证书。如果您要管理多个域，请通过将每个通配符域包含为一个别名，将这些域合并为一个证书。然后更新 Apache 配置以引用此统一证书。

    另一个可能的变通方案是将每个虚拟主机配置为监听单独的端口。此方法通过确保每个 vhost 通过其自己的连接端点进行唯一寻址从而避免了与 SNI 相关的问题从而允许没有歧义的不同 TLS 配置。

    此错误也可能源于错误的 HAProxy 设置。
    在此类情况下，可能有必要在 HAProxy 上启用动态 SNI 处理，以确保在 TLS 握手期间传递正确的主机名。风险分析后认为可通过使用 sni req.hdr(Host) 指令来完成 。

    我们建议您升级 apache2 程序包。

    如需了解 apache2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/apache2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202608-05 中所述漏洞影响（Apache HTTPD：多个漏洞）

    已在 Apache HTTPD 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。

Tenable 已直接从 Gentoo Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 22.04 LTS / 24.04 LTS / 25.04 主机上安装的程序包受到 USN-7639-1 公告中提及的多个漏洞的影响。

    据发现，Apache HTTP 服务器未能正确处理某些 Content-Type 响应标头。远程攻击者可能利用此问题展开 HTTP 响应拆分攻击。(CVE-2024-42516)

    xiaojunjie 发现 Apache HTTP 服务器 mod_proxy 模块未能正确处理某些请求。远程攻击者可利用此问题将出站代理请求发送到任意 URL。
    (CVE-2024-43204)

    John Runyon 发现 Apache HTTP 服务器 mod_ssl 模块未能正确转义某些数据。远程攻击者可能利用此问题将转义字符插入日志文件中。(CVE-2024-47252)

    Sven Hebrok、Felix Cramer、Tim Storm、Maximilian Radoy 和 Juraj Somorovsky 发现 Apache HTTP Server mod_ssl 模块未能正确处理 TLS 1.3 会话恢复。远程攻击者可能利用此问题绕过访问权限控制。(CVE-2025-23048)

    Anthony CORSIEZ 发现 Apache HTTP 服务器 mod_proxy_http2 模块未能正确处理缺失的主机标头。远程攻击者可能利用此问题造成服务器崩溃，从而导致拒绝服务。(CVE-2025-49630)

    Robert Merget 发现 Apache HTTP 服务器 mod_ssl 模块未能正确处理 TLS 升级。远程攻击者可能利用此问题劫持 HTTP 会话。此更新删除了旧的 SSLEngine 可选配置选项，在某些环境中因此可能需要进行配置更改。(CVE-2025-49812)

    Gal Bar Nahum 发现 Apache HTTP 服务器未能正确处理某些内存操作。远程攻击者可利用此问题造成服务器消耗资源，从而导致拒绝服务。(CVE-2025-53020)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 httpd 版本低于 2.4.64-1。因此，该软件受到 ALAS2-2025-2958 公告中提及的多个漏洞影响。

    如果攻击者能够操纵由服务器托管或代理的应用程序的 Content-Type 响应头则可以拆分 HTTP 响应Apache HTTP Server 核心中的 HTTP 响应拆分。

    此漏洞被描述为 CVE-2023-38709，但 Apache HTTP Server 2.4.59 中包含的补丁未解决该问题。

    建议用户升级为已修复此问题的 2.4.64 版。(CVE-2024-42516)

    加载了 mod_proxy 的 Apache HTTP Server 中的 SSRF 允许攻击者向自己控制的 URL 发送出站代理请求。所需配置不太可能实现，其中需将 mod_headers 配置为使用 HTTP 请求中提供的值修改 Content-Type 请求或响应标头。

    建议用户升级为已修复此问题的 2.4.64 版。(CVE-2024-43204)

    Apache HTTP Server 2.4.63 和更早版本中的 mod_ssl 中用户提供的数据转义不充分允许不受信任的 SSL/TLS 客户端将转义字符插入到某些配置的日志文件中。

    在使用 CustomLog 与 %{varname}x 或 %{varname}c 记录 mod_ssl 所提供变量（如 SSL_TLS_SNI）的日志记录配置中，mod_log_config 或 mod_ssl 未执行任何转义，且客户端提供的未审查的数据可能出现在日志文件中。(CVE-2024-47252)

    在 Apache HTTP Server 上的某些 mod_ssl 配置中 2.4.35 到 到 2.4.63受信任的客户端可能会使用 TLS 1.3 会话恢复绕过访问控制。

    为多个虚拟主机配置了 mod_ssl其中每个虚拟主机仅限使用一组不同的受信任客户端证书例如具有不同的 SSLCACertificateFile/Path 设置时配置会受到影响。在这种情况下如果未在任一虚拟主机中启用 SSLStrictSNIVHostCheck则受信任可以访问一个虚拟主机的客户端可能会访问另一个虚拟主机。 (CVE-2025-23048)

    在某些代理配置中不受信任的客户端可能会触发针对 Apache HTTP Server 版本 2.4.26 到 至 2.4.63 的拒绝服务攻击进而在 mod_proxy_http2 中造成断言。

    受影响的配置包括为 HTTP/2 后端配置反向代理，并将 ProxyPreserveHost 设置为 on。(CVE-2025-49630)

    在 Apache HTTP Server 版 至 2.4.63版的某些 mod_ssl 配置中HTTP 去同步攻击允许中间人攻击者通过 TLS 升级劫持 HTTP 会话。

    只有使用 SSLEngine 可选以启用 TLS 升级的配置会受到影响。建议用户升级到版本 2.4.64其删除了对 TLS 升级的支持。 (CVE-2025-49812)

    Apache HTTP Server 中的有效生命周期后延迟内存释放漏洞。

    此问题影响 Apache HTTP Server 版本 2.4.17 至 2.4.63。

    建议用户升级到修复了此问题的版本 2.4.64。(CVE-2025-53020)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在加载了 mod_proxy 的情况下，Apache HTTP Server 中的 SSRF 允许攻击者将出站代理请求发送到由其控制的 URL。所需配置不太可能实现，其中需将 mod_headers 配置为使用 HTTP 请求中提供的值修改 Content-Type 请求或响应标头。建议用户升级为已修复此问题的 2.4.64 版。(CVE-2024-43204)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Ubuntu 14.04 LTS/16.04 LTS/18.04 LTS/20.04 LTS 主机上安装的多个程序包受到 USN-8338-1 公告中提及的多个漏洞影响。

    据发现，Apache HTTP 服务器未能正确处理某些响应标头。攻击者可能利用此问题展开 HTTP 响应拆分攻击。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2023-38709)

    Will Dormann 和 David Warren 发现 Apache HTTP 服务器的 HTTP/2 实现在客户端重置流时未正确回收内存。远程攻击者可利用此问题造成 Apache HTTP 服务器消耗资源，从而导致拒绝服务。此问题仅影响 Ubuntu 18.04 LTS。(CVE-2023-45802)

    Keran Mu 和 Jianjun Chen 发现 Apache HTTP 服务器未能正确处理某些响应标头。
    攻击者可能利用此问题展开 HTTP 响应拆分攻击。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2024-24795)

    Orange Tsai 发现 Apache HTTP 服务器 mod_proxy 未能正确处理 URL 编码。远程攻击者可能利用此问题通过构建的请求绕过身份验证。此问题仅影响 Ubuntu 16.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2024-38473)

    Orange Tsai 发现可通过恶意后端响应标头导致 Apache HTTP 服务器执行服务器端请求伪造 (SSRF)。远程攻击者可能利用此问题来执行 SSRF 攻击或泄露敏感信息。此问题仅影响 Ubuntu 14.04 LTS。
    (CVE-2024-38476)

    Orange Tsai 发现 Apache HTTP 服务器 mod_proxy 未能正确处理某些空指针情况。远程攻击者可能利用此问题造成 Apache HTTP 服务器崩溃，从而导致拒绝服务。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2024-38477)

    Orange Tsai 发现可通过不安全的 RewriteRules 导致 Apache HTTP 服务器 mod_rewrite 执行服务器端请求伪造 (SSRF)。远程攻击者可能利用此问题来执行 SSRF 攻击。此问题仅影响 Ubuntu 16.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2024-39573)

    据发现，Apache HTTP 服务器未能正确处理某些响应标头。攻击者可能利用此问题展开 HTTP 响应拆分攻击。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2024-42516)

    据发现，可通过用于修改 Content-Type 标头的 mod_headers 导致 Apache HTTP 服务器执行服务器端请求伪造 (SSRF)。远程攻击者可能利用此问题来执行 SSRF 攻击。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2024-43204)

    John Runyon 发现，Apache HTTP 服务器 mod_ssl 在写入日志条目之前未正确转义用户提供的数据。远程攻击者可能利用此问题将转义序列插入日志文件中。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2024-47252)

    Robert Merget 发现配置为 SSLEngine optional 的 Apache HTTP 服务器容易受到 HTTP 去同步攻击。处于特权网络位置的攻击者可能利用此问题劫持 HTTP 会话。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2025-49812)

    据发现，Apache HTTP 服务器 mod_md 在 ACME 证书续期退避计时器中存在整数溢出。攻击者可能利用此问题造成过多的证书续期请求。
    此问题仅影响 Ubuntu 20.04 LTS。(CVE-2025-55753)

    Anthony Parfenov 发现在启用 SSI 的 Apache HTTP 服务器中，mod_cgid 会将 shell 转义查询字符串传递到 #exec cmd 指令。远程攻击者可能利用此问题执行命令注入。(CVE-2025-58098)

    Mattias sander 发现 Apache HTTP 服务器错误地将 HTTP 标头中的环境变量置于服务器计算的 CGI 变量之上。远程攻击者可能利用此问题影响 CGI 程序的环境。(CVE-2025-65082)

    Mattias sander 发现，配置 suexec 的 Apache HTTP 服务器 mod_userdir 可能会通过 .htaccess 文件中的 RequestHeader 指令，在非预期的用户 ID 下运行 CGI 脚本。具有 .htaccess 写入访问权限的攻击者可能利用此问题绕过 suexec 用户限制。(CVE-2025-66200)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
114917	Apache 2.4.x < 2.4.64 多个漏洞	Web App Scanning	Component Vulnerability	2025/7/18	2025/7/18	critical
258118	Tenable Security Center 多个漏洞 (TNS-2025-17)	Nessus	Misc.	2025/8/29	2025/8/29	critical
242008	Slackware Linux 15.0/当前 httpd 多个漏洞（SSA：2025-192-02）	Nessus	Slackware Local Security Checks	2025/7/11	2025/8/12	high
241984	Apache 2.4.x < 2.4.64 多个漏洞	Nessus	Web Servers	2025/7/11	2026/8/25	critical
296603	Oracle HTTP Server2026 年 1 月 CPU	Nessus	Web Servers	2026/1/26	2026/8/24	medium
296604	Oracle HTTP Server2026 年 1 月 CPU	Nessus	Web Servers	2026/1/26	2026/8/24	medium
242381	Azure Linux 3.0 安全更新httpd (CVE-2024-43204)	Nessus	Azure Linux Local Security Checks	2025/7/19	2025/9/15	high
242640	Slackware Linux 15.0/当前 httpd 多个漏洞（SSA：2025-204-01）	Nessus	Slackware Local Security Checks	2025/7/23	2025/7/23	critical
243478	Amazon Linux 2023：httpd、httpd-core、httpd-devel (ALAS2023-2025-1125)	Nessus	Amazon Linux Local Security Checks	2025/8/4	2025/8/14	critical
249166	Debian dla-4270apache2 - 安全更新	Nessus	Debian Local Security Checks	2025/8/12	2026/1/21	critical
335265	GLSA-202608-05：Apache HTTPD：多个漏洞	Nessus	Gentoo Local Security Checks	2026/8/13	2026/8/17	high
242284	Ubuntu 22.04 LTS / 24.04 LTS / 25.04：Apache HTTP Server 漏洞 (USN-7639-1)	Nessus	Ubuntu Local Security Checks	2025/7/17	2025/8/12	critical
243429	Amazon Linux 2：httpd (ALAS-2025-2958)	Nessus	Amazon Linux Local Security Checks	2025/8/4	2025/8/4	critical
248833	Linux Distros 未修补的漏洞：CVE-2024-43204	Nessus	Misc.	2025/8/12	2026/7/29	high
320481	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS：Apache HTTP 服务器漏洞 (USN-8338-1)	Nessus	Ubuntu Local Security Checks	2026/6/11	2026/6/11	critical

检测

插件搜索

critical

critical

high

critical

medium

medium

high

critical

critical

critical

high

critical

critical

high

critical