近日，Apache HTTP Server 发布安全更新，修复了 Apache HTTP Server 中的服务端请求伪造（SSRF）和缓冲区溢出漏洞，攻击者通过这些漏洞可进行服务器端请求伪造和缓冲区溢出攻击。
漏洞描述
Apache HTTP Server是阿帕奇（Apache）基金会的一款开源网页服务器。
CVE-2021-44224
由于对用户输入验证不足，攻击者可通过使用特制的HTTP请求导致 httpd 服务器崩溃（当配置为前置代理时）或进行服务器端请求伪造攻击（当配置为混合转发或反向代理时）。
该漏洞危害等级：中危
CVE-2021-44790
由于 mod_lua 解析 multipart 内容时可能出现缓冲区溢出，攻击者利用该漏洞可通过精心设计的HTTP请求进行缓冲区溢出攻击。
该漏洞危害等级：高危
CVE 编号
CVE-2021-44224
CVE-2021-44790FOFA 查询
影响范围
CVE-2021-44224
2.4.7 <= Apache HTTP Server <= 2.4.51
CVE-2021-44790
Apache HTTP Server <= 2.4.51根据目前FOFA系统最新数据（一年内数据），显示全球范围内（app="APACHE-Web-Server"）共有 134,131,938 个相关服务对外开放。美国使用数量最多，共有 39,158,015 个；德国第二，共有 12,795,490 个；中国第三，共有 12,548,618 个；日本第四，共有 7,000,129 个；法国第五，共有 5,643,182 个。
全球范围内分布情况如下（仅为分布情况，非漏洞影响情况）
中国大陆地区广东使用数量最多，共有 1,629,116 个；浙江第二，共有 1,442,166 个；北京第三，共有 1,351,917 个；上海第四，共有 708,158 个；山东第五，共有 516,265 个。
Vulfocus 靶场环境
目前 Vulfocus 已经集成 Apache HTTP Server 2.4.49 环境，可通过以下链接启动环境测试：
http://vulfocus.fofa.so/#/dashboard?image_id=b69e9bba-4e06-4a02-8f44-bee13aa8dea6
也可通过 docker pull vulfocus/apache-cve_2021_41773:latest 拉取本地环境运行，本地启动命令：docker run -d -P vulfocus/apache-cve_2021_41773:latest
修复建议
及时升级至 Apache HTTP Server 2.4.52：https://httpd.apache.org/download.cgi
参考
[1] https://httpd.apache.org/security/vulnerabilities_24.html
[2] https://mp.weixin.qq.com/s/dlou1neoN_rGKxPO8vR6zw
白帽汇从事信息安全，专注于安全大数据、企业威胁情报。
公司产品：FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。
为您提供：网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。