公告ID（KYSA-202408-1147）
公告ID：KYSA-202408-1147
公告摘要：httpd安全漏洞
等級：重要
發(fā)布日期：2024-08-20
詳細(xì)介紹
1.修復(fù)的漏洞
·CVE-2024-38474
描述：Apache HTTP Server是美國阿帕奇（Apache）基金會的一款開源網(wǎng)頁服務(wù)器。該服務(wù)器具有快速、可靠且可通過簡單的API進行擴充的特點。
Apache HTTP Server 2.4.59及之前版本存在安全漏洞，該漏洞源于mod_rewrite存在替換編碼問題，允許攻擊者在配置允許的目錄中執(zhí)行腳本。
·CVE-2024-38475
描述：A flaw was found in the Apache HTTP Server. Due to improper escaping of output in mod_rewrite, this flaw allows an attacker to map URLs to filesystem locations permitted to be served by the server but are not intentionally or directly reachable by any URL, resulting in code execution or source code disclosure.
·CVE-2024-38477
描述：Apache HTTP Server是美國阿帕奇（Apache）基金會的一款開源網(wǎng)頁服務(wù)器。該服務(wù)器具有快速、可靠且可通過簡單的API進行擴充的特點。
Apache HTTP Server 2.4.59及之前版本存在代碼問題漏洞，該漏洞源于空指針取消引用，允許攻擊者通過惡意請求使服務(wù)器崩潰。
2.受影響的軟件包
·中標(biāo)麒麟高級服務(wù)器操作系統(tǒng) V7
·aarch64架構(gòu):
mod_ssl、mod_session、httpd、mod_proxy_html、httpd-tools、mod_ldap、httpd-manual、httpd-devel
·x86_64架構(gòu):
mod_ssl、mod_session、httpd、mod_proxy_html、httpd-tools、mod_ldap、httpd-manual、httpd-devel
·銀河麒麟高級服務(wù)器操作系統(tǒng) V10
·aarch64架構(gòu):
mod_ssl、mod_session、httpd、mod_proxy_html、httpd-tools、mod_ldap、httpd-manual、httpd-devel
·x86_64架構(gòu):
mod_ssl、mod_session、httpd、mod_proxy_html、httpd-tools、mod_ldap、httpd-manual、httpd-devel
3.軟件包修復(fù)版本
·中標(biāo)麒麟高級服務(wù)器操作系統(tǒng) V7 (aarch64、x86_64)
httpd-tools-2.4.6-99.el7_9.2.ns7.01或以上版本
mod_proxy_html-2.4.6-99.el7_9.2.ns7.01或以上版本
httpd-2.4.6-99.el7_9.2.ns7.01或以上版本
httpd-devel-2.4.6-99.el7_9.2.ns7.01或以上版本
mod_session-2.4.6-99.el7_9.2.ns7.01或以上版本
mod_ldap-2.4.6-99.el7_9.2.ns7.01或以上版本
mod_ssl-2.4.6-99.el7_9.2.ns7.01或以上版本
httpd-manual-2.4.6-99.el7_9.2.ns7.01或以上版本
·銀河麒麟高級服務(wù)器操作系統(tǒng) V10 (aarch64、x86_64)
httpd-tools-2.4.6-99.el7_9.2.ns7.01或以上版本
mod_proxy_html-2.4.6-99.el7_9.2.ns7.01或以上版本
httpd-2.4.6-99.el7_9.2.ns7.01或以上版本
httpd-devel-2.4.6-99.el7_9.2.ns7.01或以上版本
mod_session-2.4.6-99.el7_9.2.ns7.01或以上版本
mod_ldap-2.4.6-99.el7_9.2.ns7.01或以上版本
mod_ssl-2.4.6-99.el7_9.2.ns7.01或以上版本
httpd-manual-2.4.6-99.el7_9.2.ns7.01或以上版本
4.修復(fù)方法
方法一：配置源進行升級安裝
1.打開軟件包源配置文件，根據(jù)倉庫地址進行修改。
倉庫源地址：
中標(biāo)麒麟高級服務(wù)器操作系統(tǒng) V7
aarch64:https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/aarch64/
x86_64:https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/x86_64/
銀河麒麟高級服務(wù)器操作系統(tǒng) V10
aarch64:https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/aarch64/
x86_64:https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/x86_64/
2.配置完成后執(zhí)行更新命令進行升級，命令如下：
yum update Packagename
方法二：下載安裝包進行升級安裝
通過軟件包地址下載軟件包，使用軟件包升級命令根據(jù)受影響的軟件包
列表進行升級安裝, 命令如下：
yum install Packagename
3.升級完成后是否需要重啟服務(wù)或操作系統(tǒng)：
CVE-2024-38474:無需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。
CVE-2024-38475:無需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。
CVE-2024-38477:無需重啟操作系統(tǒng)與服務(wù)即可使漏洞修復(fù)生效。
5.軟件包下載地址
·中標(biāo)麒麟高級服務(wù)器操作系統(tǒng) V7
httpd(aarch64)軟件包下載地址:
https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/aarch64/Packages/httpd-2.4.6-99.el7_9.2.ns7.01.aarch64.rpm
https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/aarch64/Packages/httpd-devel-2.4.6-99.el7_9.2.ns7.01.aarch64.rpm
https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/aarch64/Packages/httpd-manual-2.4.6-99.el7_9.2.ns7.01.noarch.rpm
https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/aarch64/Packages/httpd-tools-2.4.6-99.el7_9.2.ns7.01.aarch64.rpm
https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/aarch64/Packages/mod_ldap-2.4.6-99.el7_9.2.ns7.01.aarch64.rpm
https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/aarch64/Packages/mod_proxy_html-2.4.6-99.el7_9.2.ns7.01.aarch64.rpm
https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/aarch64/Packages/mod_session-2.4.6-99.el7_9.2.ns7.01.aarch64.rpm
https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/aarch64/Packages/mod_ssl-2.4.6-99.el7_9.2.ns7.01.aarch64.rpm
httpd(x86_64)軟件包下載地址:
https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/x86_64/Packages/httpd-2.4.6-99.el7_9.2.ns7.01.x86_64.rpm
https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/x86_64/Packages/httpd-devel-2.4.6-99.el7_9.2.ns7.01.x86_64.rpm
https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/x86_64/Packages/httpd-manual-2.4.6-99.el7_9.2.ns7.01.noarch.rpm
https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/x86_64/Packages/httpd-tools-2.4.6-99.el7_9.2.ns7.01.x86_64.rpm
https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/x86_64/Packages/mod_ldap-2.4.6-99.el7_9.2.ns7.01.x86_64.rpm
https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/x86_64/Packages/mod_proxy_html-2.4.6-99.el7_9.2.ns7.01.x86_64.rpm
https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/x86_64/Packages/mod_session-2.4.6-99.el7_9.2.ns7.01.x86_64.rpm
https://update.cs2c.com.cn/NS/V7/V7Update9/os/adv/lic/updates/x86_64/Packages/mod_ssl-2.4.6-99.el7_9.2.ns7.01.x86_64.rpm
·銀河麒麟高級服務(wù)器操作系統(tǒng) V10
httpd(aarch64)軟件包下載地址:
https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/aarch64/Packages/httpd-2.4.6-99.el7_9.2.ns7.01.aarch64.rpm
https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/aarch64/Packages/httpd-devel-2.4.6-99.el7_9.2.ns7.01.aarch64.rpm
https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/aarch64/Packages/httpd-manual-2.4.6-99.el7_9.2.ns7.01.noarch.rpm
https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/aarch64/Packages/httpd-tools-2.4.6-99.el7_9.2.ns7.01.aarch64.rpm
https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/aarch64/Packages/mod_ldap-2.4.6-99.el7_9.2.ns7.01.aarch64.rpm
https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/aarch64/Packages/mod_proxy_html-2.4.6-99.el7_9.2.ns7.01.aarch64.rpm
https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/aarch64/Packages/mod_session-2.4.6-99.el7_9.2.ns7.01.aarch64.rpm
https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/aarch64/Packages/mod_ssl-2.4.6-99.el7_9.2.ns7.01.aarch64.rpm
httpd(x86_64)軟件包下載地址:
https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/x86_64/Packages/httpd-2.4.6-99.el7_9.2.ns7.01.x86_64.rpm
https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/x86_64/Packages/httpd-devel-2.4.6-99.el7_9.2.ns7.01.x86_64.rpm
https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/x86_64/Packages/httpd-manual-2.4.6-99.el7_9.2.ns7.01.noarch.rpm
https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/x86_64/Packages/httpd-tools-2.4.6-99.el7_9.2.ns7.01.x86_64.rpm
https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/x86_64/Packages/mod_ldap-2.4.6-99.el7_9.2.ns7.01.x86_64.rpm
https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/x86_64/Packages/mod_proxy_html-2.4.6-99.el7_9.2.ns7.01.x86_64.rpm
https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/x86_64/Packages/mod_session-2.4.6-99.el7_9.2.ns7.01.x86_64.rpm
https://update.cs2c.com.cn/NS/V10/V10-ZJ/os/adv/lic/updates/x86_64/Packages/mod_ssl-2.4.6-99.el7_9.2.ns7.01.x86_64.rpm
注：其他相關(guān)依賴包請到相同目錄下載
6.修復(fù)驗證
使用軟件包查詢命令，查看相關(guān)軟件包版本是否與修復(fù)版本一致，如果版本一致，則說明修復(fù)成功。
sudo rpm -qa | grep Packagename
