Apache · HTTP Server
CVE-2019-0211
Apache HTTP Server Privilege Escalation Vulnerability
چیست
In Apache HTTP Server 2.4 releases 2.4.17 to 2.4.38, with MPM event, worker or prefork, code executing in less-privileged child processes or threads (including scripts executed by an in-process scripting interpreter) could execute arbitrary code with the privileges of the parent process (usually root) by manipulating the scoreboard. Non-Unix systems are not affected.
CISA: Apache HTTP Server, with MPM event, worker or prefork, code executing in less-privileged child processes or threads (including scripts executed by an in-process scripting interpreter) could execute code with the privileges of the parent process (usually root) by manipulating the scoreboard.
چه باید کرد
Apply updates per vendor instructions.
مهلت برای نهادهای فدرال آمریکا: ۳ مهٔ ۲۰۲۲
- افزوده‌شده به فهرست CISA
- ۳ نوامبر ۲۰۲۱
- منتشرشده
- ۸ آوریل ۲۰۱۹
- شدت
- بالا ۷٫۸ CVSS 3.1
- احتمال حمله در ۳۰ روز آینده (EPSS)
- ۶۵% در ۰٫۸% بالای همهٔ آسیب‌پذیری‌های شناخته‌شده
- نوع ضعف
- CWE-416
- جزئیات بیشتر
- NVD · CVE.org · CISA
همهٔ منابع (20)
- https://usn.ubuntu.com/3937-1/
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WETXNQWNQLWH…
- https://www.debian.org/security/2019/dsa-4422
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/EZRMTEIGZKYF…
- https://access.redhat.com/errata/RHSA-2019:0746
- http://lists.opensuse.org/opensuse-security-announce/2019-04/msg00051.html
- http://www.openwall.com/lists/oss-security/2019/04/02/3
- http://www.securityfocus.com/bid/107666
- https://seclists.org/bugtraq/2019/Apr/5
- https://www.synology.com/security/advisory/Synology_SA_19_14
- http://packetstormsecurity.com/files/152386/Apache-2.4.38-Root-Privilege-Escalation.html
- https://lists.apache.org/thread.html/b1613d44ec364c87bb7ee8c5939949f9b061c05c06e0e90098ebf7aa%40%3Cusers.http…
- https://seclists.org/bugtraq/2019/Apr/16
- https://www.exploit-db.com/exploits/46676/
- https://httpd.apache.org/security/vulnerabilities_24.html
- http://packetstormsecurity.com/files/152415/Slackware-Security-Advisory-httpd-Updates.html
- http://packetstormsecurity.com/files/152441/CARPE-DIEM-Apache-2.4.x-Local-Privilege-Escalation.html
- http://www.apache.org/dist/httpd/CHANGES_2.4.39
- https://lists.apache.org/thread.html/890507b85c30adf133216b299cc35cd8cd0346a885acfc671c04694e%40%3Cdev.commun…
- https://lists.apache.org/thread.html/b2bdb308dc015e771ba79c0586b2de6fb50caa98b109833f5d4daf28%40%3Cdev.commun…
آسیب‌پذیری‌های دیگر Apache که مورد سوءاستفاده‌اند
| افزوده‌شده | آسیب‌پذیری | محصول | شدت | احتمال حمله |
|---|---|---|---|---|
| ۱ مه ۲۰۲۵ | Improper Escaping of Output | HTTP Server | بحرانی ۹٫۱ | >۹۹٫۹% |
| ۳ نوامبر ۲۰۲۱ | Path Traversal | HTTP Server | بالا ۷٫۵ | >۹۹٫۹% |
| ۳ نوامبر ۲۰۲۱ | Path Traversal | HTTP Server | بحرانی ۹٫۸ | >۹۹٫۹% |
| ۸ اکتبر ۲۰۲۶ | Command Injection | Struts | بالا ۸٫۱ | ۹۷% |
| ۴ اوت ۲۰۲۶ | Missing Encryption of Sensitive Data | Tomcat | بالا ۷٫۵ | ۹۹% |
| ۱۶ آوریل ۲۰۲۶ | Improper Input Validation | ActiveMQ | بالا ۸٫۸ | ۹۸% |
| ۱ آوریل ۲۰۲۵ | Path Equivalence | Tomcat | بحرانی ۱۰٫۰ | ۹۹٫۹% |
| ۴ فوریه ۲۰۲۵ | Forced Browsing | OFBiz | بحرانی ۹٫۸ | >۹۹٫۹% |
منابع: Known Exploited Vulnerabilities (CISA، مالکیت عمومی)، CVE records (cve.org) و EPSS (FIRST). احتمال حمله برآورد EPSS از این است که کسی در ۳۰ روز آینده برای سوءاستفاده از این آسیب‌پذیری تلاش کند.