一、 漏洞 CVE-2024-40898 基础信息
漏洞信息
# Apache HTTP Server：在 Windows 的 server/vhost 上使用 mod_rewrite 时存在 SSRF 漏洞
## 漏洞概述
Apache HTTP Server 在 Windows 系统上使用 mod_rewrite 模块时存在 SSRF（Server-Side Request Forgery）漏洞，允许通过恶意请求将 NTLM 哈希泄露给恶意服务器。
## 影响版本
Apache HTTP Server 2.4.62 之前的版本
## 漏洞细节
当Apache HTTP Server在Windows环境下启用 mod_rewrite 模块时，恶意用户可以利用SSRF漏洞，通过发送恶意请求，将 NTLM 哈希泄露给恶意服务器。
## 影响
该漏洞可能导致敏感信息泄露，特别是 NTLM 哈希，从而可能引发进一步的安全风险。建议升级到不受影响的版本 2.4.62。
神龙判断
是否为 Web 类漏洞： 是
判断理由：
是。这个漏洞是在Apache HTTP Server中的服务器端出现的，具体是在使用了mod_rewrite模块的情况下，在服务器或虚拟主机上下文中存在服务器端请求伪造（SSRF）漏洞。攻击者可以通过构造恶意请求，利用此漏洞将NTLM哈希泄露给恶意服务器。这种漏洞需要服务器端的配合才能被利用，因此它被归类为服务器端漏洞。用户应升级到2.4.62版本以修复此问题。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Apache HTTP Server: SSRF with mod_rewrite in server/vhost context on Windows
来源：美国国家漏洞数据库 NVD
漏洞描述信息
SSRF in Apache HTTP Server on Windows with mod_rewrite in server/vhost context, allows to potentially leak NTML hashes to a malicious server via SSRF and malicious requests. Users are recommended to upgrade to version 2.4.62 which fixes this issue.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
服务端请求伪造(SSRF)
来源：美国国家漏洞数据库 NVD
漏洞标题
Apache HTTP Server 代码问题漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Apache HTTP Server是美国阿帕奇（Apache）基金会的一款开源网页服务器。该服务器具有快速、可靠且可通过简单的API进行扩充的特点。 Apache HTTP Server 2.4.62之前版本存在代码问题漏洞，该漏洞源于存在服务器端请求伪造问题，可能会将NTML哈希泄露给恶意服务器。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
代码问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-40898 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|---|---|---|
| 1 | This Python script checks for the presence of CVE-2024-40898, a critical vulnerability in Apache HTTP Server that may allow SSL/TLS certificate verification bypass under certain misconfigurations. It initiates an SSL connection to the target server and sends a HEAD request. | https://github.com/anilpatel199n/CVE-2024-40898 | POC详情 |
| 2 | This Python script is a Proof-of-Concept (PoC) scanner for detecting the vulnerability CVE-2024-40898, which affects Apache HTTP Server’s SSL certificate validation. | https://github.com/ForceEA001/CVE-2024-40898-SSL-Bypass-Detection | POC详情 |
三、漏洞 CVE-2024-40898 的情报信息
标题： Apache HTTP Server 2.4 vulnerabilities - The Apache HTTP Server Project -- 🔗来源链接
标签：vendor-advisory
- https://nvd.nist.gov/vuln/detail/CVE-2024-40898
四、漏洞 CVE-2024-40898 的评论
暂无评论