漏洞描述
Apache HTTP Server 是美国阿帕奇（Apache）基金会的一款开源网页服务器，ap_set_content_type_ex 函数用于设置请求的 content-type。
受影响版本中在处理请求时未能正确应用子请求的信任标志，在某些间接请求文件的情况下，AddType 及类似配置会导致本地脚本文件的内容泄露，攻击者可能利用该漏洞获取 php 等脚本语言源代码。
修复版本通过将 ap_set_content_type_ex 函数的参数由 AP_REQUEST_IS_TRUSTED_CT (r) 修改为 AP_REQUEST_IS_TRUSTED_CT (rr)，以此来使用子请求的信任标志而不是当前请求的信任标志。
该修复补丁是对 CVE-2024-39884 漏洞修复的完善。
| 漏洞名称 | Apache HTTP Server 源代码泄露漏洞 |
|---|---|
| 漏洞类型 | 未授权敏感信息泄露 |
| 发现时间 | 2024-07-18 |
| 漏洞影响广度 | - |
| MPS 编号 | MPS-8bju-6lxc |
| CVE 编号 | CVE-2024-40725 |
| CNVD 编号 | - |
影响范围
http_server@[2.4.60, 2.4.62)
apache2@影响所有版本
修复方案
将组件 http_server 升级至 2.4.62 及以上版本