Une uri-path élaborée peut amener mod_proxy à transférer la requête vers un serveur d'origine choisi par l'utilisateur distant. Ce problème affecte Apache HTTP Server 2.4.48 et les versions antérieures.
Action requise :Appliquer les mises à jour selon les instructions de l'éditeur.
Score CVSS 3.1 : 9,0 sur 10, gravité critique CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
Exploitable à distance, par le réseau, sans compte, sans action de la victime.
Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
Versions concernées
http server : versions ≤ 2.4.48
cloud backup : toutes versions
clustered data ontap : toutes versions
storagegrid : toutes versions
brocade fabric operating system firmware : toutes versions
f5os : versions ≥ 1.1.0 et ≤ 1.1.4
f5os : versions ≥ 1.2.0 et ≤ 1.2.1
ruggedcom nms : toutes versions
D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.
Type de faiblesse
Falsification de requête côté serveur (CWE-918) : Le serveur web reçoit une URL ou une requête similaire d'un composant amont et récupère le contenu de cette URL sans s'assurer suffisamment que la requête est envoyée à la destination attendue.
Chronologie
— Publication de la CVE
— Exploitation confirmée : ajout au catalogue KEV de la CISA
— Échéance de correction pour les agences fédérales américaines
Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.
Texte original de la CISA (anglais)
Apache HTTP Server-Side Request Forgery (SSRF)
A crafted request uri-path can cause mod_proxy to forward the request to an origin server choosen by the remote user. This issue affects Apache HTTP Server 2.4.48 and earlier.
Required action: Apply updates per vendor instructions.