低危 Apache HTTP Server 2.x HTTP Header 跨站脚本攻击

CVE编号

CVE-2007-6203

利用情况

暂无

补丁情况

官方补丁

披露时间

2007-12-04
漏洞描述
当Apache HTTP Server 2.0.x和2.2.x反映在“ 413请求实体太大”错误消息中时，它不清除HTTP请求中的HTTP方法说明标头，该错误消息可能允许跨站点脚本（XSS）样式使用可在请求中发送任意标头的Web客户端组件进行攻击，如通过包含无效Content-length值的HTTP请求所演示的，与CVE-2006-3918.v相似

解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接
http://docs.info.apple.com/article.html?artnum=307562
http://lists.apple.com/archives/security-announce/2008/Mar/msg00001.html
http://lists.opensuse.org/opensuse-security-announce/2008-04/msg00004.html
http://marc.info/?l=bugtraq&m=125631037611762&w=2
http://marc.info/?l=bugtraq&m=129190899612998&w=2
http://procheckup.com/Vulnerability_PR07-37.php
http://secunia.com/advisories/27906
http://secunia.com/advisories/28196
http://secunia.com/advisories/29348
http://secunia.com/advisories/29420
http://secunia.com/advisories/29640
http://secunia.com/advisories/30356
http://secunia.com/advisories/30732
http://secunia.com/advisories/33105
http://secunia.com/advisories/34219
http://security.gentoo.org/glsa/glsa-200803-19.xml
http://securityreason.com/securityalert/3411
http://www-1.ibm.com/support/docview.wss?uid=swg1PK57952
http://www-1.ibm.com/support/docview.wss?uid=swg24019245
http://www.fujitsu.com/global/support/software/security/products-f/interstage...
http://www.securityfocus.com/archive/1/484410/100/0/threaded
http://www.securityfocus.com/bid/26663
http://www.securitytracker.com/id?1019030
http://www.ubuntu.com/usn/USN-731-1
http://www.vupen.com/english/advisories/2007/4060
http://www.vupen.com/english/advisories/2007/4301
http://www.vupen.com/english/advisories/2008/0924/references
http://www.vupen.com/english/advisories/2008/1623/references
http://www.vupen.com/english/advisories/2008/1875/references
https://exchange.xforce.ibmcloud.com/vulnerabilities/38800
https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.ova...
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 apache http_server 2.0.46 -
运行在以下环境
应用 apache http_server 2.0.47 -
运行在以下环境
应用 apache http_server 2.0.48 -
运行在以下环境
应用 apache http_server 2.0.49 -
运行在以下环境
应用 apache http_server 2.0.50 -
运行在以下环境
应用 apache http_server 2.0.51 -
运行在以下环境
应用 apache http_server 2.0.52 -
运行在以下环境
应用 apache http_server 2.0.53 -
运行在以下环境
应用 apache http_server 2.0.54 -
运行在以下环境
应用 apache http_server 2.0.55 -
运行在以下环境
应用 apache http_server 2.0.57 -
运行在以下环境
应用 apache http_server 2.0.58 -
运行在以下环境
应用 apache http_server 2.0.59 -
运行在以下环境
应用 apache http_server 2.1.1 -
运行在以下环境
应用 apache http_server 2.1.2 -
运行在以下环境
应用 apache http_server 2.1.3 -
运行在以下环境
应用 apache http_server 2.1.4 -
运行在以下环境
应用 apache http_server 2.1.5 -
运行在以下环境
应用 apache http_server 2.1.6 -
运行在以下环境
应用 apache http_server 2.1.7 -
运行在以下环境
应用 apache http_server 2.1.8 -
运行在以下环境
应用 apache http_server 2.2.0 -
运行在以下环境
应用 apache http_server 2.2.2 -
运行在以下环境
应用 apache http_server 2.2.3 -
运行在以下环境
应用 apache http_server 2.2.4 -
运行在以下环境
系统 debian_4.0 apache2 * Up to
(excluding)
2.2.3-4+etch4
运行在以下环境
系统 opensuse_10.1 apache2 * Up to
(excluding)
2.2.3-16.17.3
运行在以下环境
系统 opensuse_10.2 apache2 * Up to
(excluding)
2.2.3-24
运行在以下环境
系统 opensuse_10.3 apache2 * Up to
(excluding)
2.2.4-70.4
阿里云评分
3.5
  • 攻击路径
    远程
  • 攻击复杂度
    复杂
  • 权限要求
    无需权限
  • 影响范围
    有限影响
  • EXP成熟度
    N/A
  • 补丁情况
    官方补丁
  • 数据保密性
    无影响
  • 数据完整性
    传输被破坏
  • 服务器危害
    无影响
  • 全网数量
    N/A
CWE-ID 漏洞类型
CWE-79 在Web页面生成时对输入的转义处理不恰当（跨站脚本）
阿里云安全产品覆盖情况