Apache HTTP Server mod_proxy_ajp模块拒绝服务漏洞CVE-2010-0408深度剖析

本文详细解析了美国国家漏洞数据库收录的CVE-2010-0408漏洞。该漏洞存在于Apache HTTP Server 2.2.15之前版本的mod_proxy_ajp模块中，由于对客户端未发送请求体的异常情况处理不当，可能导致后端服务器拒绝服务。

CVE-2010-0408 漏洞详情

延迟处理 由于资源或其他问题，此CVE记录未被优先考虑用于NVD（国家漏洞数据库）丰富工作。

描述

Apache HTTP Server 2.2.x版本中（2.2.15之前），mod_proxy_ajp模块（位于mod_proxy_ajp.c文件）中的ap_proxy_ajp_request函数未能妥善处理客户端未发送请求体的特定情况。这允许远程攻击者通过精心构造的请求导致拒绝服务（后端服务器中断），相关问题在于使用了500错误代码而非适当的400错误代码。

评估者描述

根据：http://cwe.mitre.org/data/definitions/703.html CWE-703: 未能处理异常情况

指标

CVSS 版本 4.0

  • NIST: NVD: N/A (NVD评估尚未提供)

CVSS 版本 3.x

  • NIST: NVD: N/A (NVD评估尚未提供)

CVSS 版本 2.0

  • NIST: NVD:
    • 基本分数: 5.0 MEDIUM
    • 向量: (AV:N/AC:L/Au:N/C:N/I:N/A:P)

注意：NVD丰富工作参考公开可用信息来关联向量字符串。其他来源贡献的CVSS信息也会显示。

评估者影响

根据：http://httpd.apache.org/security/vulnerabilities_22.html 影响版本: 2.2.14, 2.2.13, 2.2.12, 2.2.11, 2.2.9, 2.2.8, 2.2.6, 2.2.5, 2.2.4, 2.2.3, 2.2.2, 2.2.0

参考（公告、解决方案和工具）

注意：选择这些链接，您将离开NIST网络空间。我们提供这些其他网站的链接是因为它们可能包含您感兴趣的信息。不应因为此页面引用或未引用其他网站而做出任何推断。可能有其他网站更符合您的目的。NIST不一定认可这些网站表达的观点，或同意其提供的事实。此外，NIST不认可这些网站上可能提及的任何商业产品。请将此页面的意见发送至 nvd@nist.gov。

URL 来源 标签
http://httpd.apache.org/security/vulnerabilities_22.html CVE, Inc., Red Hat 补丁， 供应商公告
http://lists.apple.com/archives/security-announce/2010//Nov/msg00000.html CVE, Inc., Red Hat 邮件列表
http://lists.fedoraproject.org/pipermail/package-announce/2010-April/039957.html CVE, Inc., Red Hat 邮件列表， 第三方公告
http://lists.fedoraproject.org/pipermail/package-announce/2010-May/040652.html CVE, Inc., Red Hat 邮件列表， 第三方公告
http://lists.opensuse.org/opensuse-security-announce/2010-04/msg00006.html CVE, Inc., Red Hat 第三方公告
http://marc.info/?l=bugtraq&m=127557640302499&w=2 CVE, Inc., Red Hat 邮件列表， 第三方公告
http://secunia.com/advisories/39100 CVE, Inc., Red Hat 网址已改作他用
http://secunia.com/advisories/39501 CVE, Inc., Red Hat 网址已改作他用
http://secunia.com/advisories/39628 CVE, Inc., Red Hat 网址已改作他用
http://secunia.com/advisories/39632 CVE, Inc., Red Hat 网址已改作他用
http://secunia.com/advisories/39656 CVE, Inc., Red Hat 网址已改作他用
http://secunia.com/advisories/40096 CVE, Inc., Red Hat 网址已改作他用
http://support.apple.com/kb/HT4435 CVE, Inc., Red Hat 失效链接
http://svn.apache.org/viewvc/httpd/httpd/branches/2.2.x/modules/proxy/mod_proxy_ajp.c?r1=917876&r2=917875&pathrev=917876 CVE, Inc., Red Hat 补丁， 第三方公告
http://svn.apache.org/viewvc?view=revision&revision=917876 CVE, Inc., Red Hat 第三方公告
http://www-01.ibm.com/support/docview.wss?uid=swg1PM08939 CVE, Inc., Red Hat 第三方公告
http://www-01.ibm.com/support/docview.wss?uid=swg1PM12247 CVE, Inc., Red Hat 第三方公告
http://www-01.ibm.com/support/docview.wss?uid=swg1PM15829 CVE, Inc., Red Hat 第三方公告
http://www.debian.org/security/2010/dsa-2035 CVE, Inc., Red Hat 第三方公告， VDB条目
http://www.mandriva.com/security/advisories?name=MDVSA-2010:053 CVE, Inc., Red Hat 失效链接
http://www.mandriva.com/security/advisories?name=MDVSA-2013:150 CVE, Inc., Red Hat 失效链接， 第三方公告
http://www.oracle.com/technetwork/topics/security/cpuapr2013-1899555.html CVE, Inc., Red Hat 第三方公告
http://www.redhat.com/support/errata/RHSA-2010-0168.html CVE, Inc., Red Hat 失效链接
http://www.securityfocus.com/bid/38491 CVE, Inc., Red Hat 失效链接
http://www.vupen.com/english/advisories/2010/0911 CVE, Inc., Red Hat 失效链接
http://www.vupen.com/english/advisories/2010/0994 CVE, Inc., Red Hat 失效链接
http://www.vupen.com/english/advisories/2010/1001 CVE, Inc., Red Hat 失效链接
http://www.vupen.com/english/advisories/2010/1057 CVE, Inc., Red Hat 失效链接
http://www.vupen.com/english/advisories/2010/1411 CVE, Inc., Red Hat 失效链接
https://bugzilla.redhat.com/show_bug.cgi?id=569905 CVE, Inc., Red Hat 问题跟踪， 第三方公告
https://lists.apache.org/thread.html/8d63cb8e9100f28a99429b4328e4e7cebce861d5772ac9863ba2ae6f%40%3Ccvs.httpd.apache.org%3E CVE, Inc., Red Hat 邮件列表， 第三方公告
https://lists.apache.org/thread.html/f7f95ac1cd9895db2714fa3ebaa0b94d0c6df360f742a40951384a53%40%3Ccvs.httpd.apache.org%3E CVE, Inc., Red Hat 邮件列表， 第三方公告
https://lists.apache.org/thread.html/r2295080a257bad27ea68ca0af12fc715577f9e84801eae116a33107e%40%3Ccvs.httpd.apache.org%3E CVE, Inc., Red Hat 邮件列表， 第三方公告
https://lists.apache.org/thread.html/r57608dc51b79102f3952ae06f54d5277b649c86d6533dcd6a7d201f7%40%3Ccvs.httpd.apache.org%3E CVE, Inc., Red Hat 邮件列表， 第三方公告
https://lists.apache.org/thread.html/r75cbe9ea3e2114e4271bbeca7aff96117b50c1b6eb7c4772b0337c1f%40%3Ccvs.httpd.apache.org%3E CVE, Inc., Red Hat 邮件列表， 第三方公告
https://lists.apache.org/thread.html/r9ea3538f229874c80a10af473856a81fbf5f694cd7f471cc679ba70b%40%3Ccvs.httpd.apache.org%3E CVE, Inc., Red Hat 邮件列表， 第三方公告
https://lists.apache.org/thread.html/r9f93cf6dde308d42a9c807784e8102600d0397f5f834890708bf6920%40%3Ccvs.httpd.apache.org%3E CVE, Inc., Red Hat 邮件列表， 第三方公告
https://lists.apache.org/thread.html/rad2acee3ab838b52c04a0698b1728a9a43467bf365bd481c993c535d%40%3Ccvs.httpd.apache.org%3E CVE, Inc., Red Hat 邮件列表， 第三方公告
https://lists.apache.org/thread.html/rdca61ae990660bacb682295f2a09d34612b7bb5f457577fe17f4d064%40%3Ccvs.httpd.apache.org%3E CVE, Inc., Red Hat 邮件列表， 第三方公告
https://lists.apache.org/thread.html/reb7c64aeea604bf948467d9d1cab8ff23fa7d002be1964bcc275aae7%40%3Ccvs.httpd.apache.org%3E CVE, Inc., Red Hat 邮件列表， 第三方公告
https://lists.apache.org/thread.html/rf6449464fd8b7437704c55f88361b66f12d5b5f90bcce66af4be4ba9%40%3Ccvs.httpd.apache.org%3E CVE, Inc., Red Hat 邮件列表， 第三方公告
https://lists.apache.org/thread.html/rfbaf647d52c1cb843e726a0933f156366a806cead84fbd430951591b%40%3Ccvs.httpd.apache.org%3E CVE, Inc., Red Hat 邮件列表， 第三方公告
https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A8619 CVE, Inc., Red Hat 失效链接
https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A9935 CVE, Inc., Red Hat 失效链接

弱点枚举

CWE-ID CWE 名称 来源
NVD-CWE-Other 其他 NIST

已知受影响软件配置

（切换到 CPE 2.2）

配置 1

  • cpe:2.3:a:apache:http_server:2.2:*:*:*:*:*:*:*
  • cpe:2.3:a:apache:http_server:2.2.0:*:*:*:*:*:*:*
  • cpe:2.3:a:apache:http_server:2.2.2:*:*:*:*:*:*:*
  • cpe:2.3:a:apache:http_server:2.2.3:*:*:*:*:*:*:*
  • cpe:2.3:a:apache:http_server:2.2.4:*:*:*:*:*:*:*
  • cpe:2.3:a:apache:http_server:2.2.6:*:*:*:*:*:*:*
  • cpe:2.3:a:apache:http_server:2.2.8:*:*:*:*:*:*:*
  • cpe:2.3:a:apache:http_server:2.2.9:*:*:*:*:*:*:*
  • cpe:2.3:a:apache:http_server:2.2.11:*:*:*:*:*:*:*
  • cpe:2.3:a:apache:http_server:2.2.12:*:*:*:*:*:*:*
  • cpe:2.3:a:apache:http_server:2.2.13:*:*:*:*:*:*:*
  • cpe:2.3:a:apache:http_server:2.2.14:*:*:*:*:*:*:*

注：表示易受攻击的软件。 我们在这里遗漏了CPE吗？请告诉我们。

变更历史

发现 13 条变更记录

（此处省略了详细的、重复的变更记录列表，包括CVE ID、NIST、Red Hat等机构在不同日期对参考链接、CPE配置、评估者描述、影响范围等信息的添加、修改和移除操作。关键变更摘要如下：）

  • 2024年11月20日：由CVE添加了大量参考链接。
  • 2023年11月1日：NIST修改了CPE配置，移除了一个通用条目，并修改了大量参考链接的类型标签（例如，将“无类型分配”改为“邮件列表”、“第三方公告”等）。
  • 其他多次修改涉及参考链接的增删和类型更新。
comments powered by Disqus
© 2020 - 2026 qife
使用 Hugo 构建
主题 Stack 由 Jimmy 设计
本站总访问量次 本站访客数人次