概述
Hiawatha是一款支持Windows、MacOS X和各种Linux发行版的开源Web服务器。该服务器专注于性能，常被用作更大、更复杂Web服务器的替代品。fetch_request函数因对内容长度和传输编码的HTTP头处理不当而存在漏洞。Tomahawk是Hiawatha Web服务器的一个组件，由于使用’strcmp’函数而容易受到认证时序攻击，可能允许本地攻击者访问管理客户端。XSLT show_index函数中的双重释放是一个内存处理问题。开发者已确认这些漏洞，并测试了更新以确保所有三个漏洞都得到缓解或修复。虽然开发者不再积极支持Hiawatha，但已在下一个版本中包含了对所有三个漏洞的缓解和修复措施。
描述
CVE-2025-57783：在Hiawatha Web服务器8.5至11.7版本的fetch_request函数中发现了一个由于头部解析不当导致的请求走私漏洞。该漏洞允许未经认证的攻击者走私请求并访问服务器管理的受限资源。
CVE-2025-57785：在Hiawatha Web服务器10.8.2至11.7版本的XSLT show_index函数中发现了一个双重释放漏洞。该漏洞允许未经认证的攻击者破坏数据，可能导致任意代码执行。
影响
- 利用请求走私漏洞可能导致攻击者绕过认证、劫持用户会话或将恶意负载注入请求
- 利用双重释放错误（当程序多次尝试释放同一内存位置时发生）可能导致数据损坏，进而执行任意代码
解决方案
安装Hiawatha分发的更新版本。
致谢
感谢报告者Ali Norouzi（Keysight）。本文档由Laurie Tyzenhaus编写。
参考链接
其他信息
CVE编号：CVE-2025-57783、CVE-2025-57784、CVE-2025-57785
公开日期：2025-09-09
首次发布：2025-09-09
最后更新：2025-09-09
文档版本：1