CVE-2019-10092: برمجة نصية عبر المواقع محدودة من خلال صفحة "خطأ الوكيل" في خادم Apache HTTP

في Apache HTTP Server 2.4.0-2.4.39، تم الإبلاغ عن مشكلة برمجة نصية عبر المواقع محدودة تؤثر على صفحة خطأ mod_proxy. يمكن للمهاجم التسبب في أن يكون الرابط على صفحة الخطأ مشوّهًا وأن يشير بدلاً من ذلك إلى صفحة من اختياره. لا يمكن استغلال هذا إلا حيث تم إعداد خادم مع تمكين الوكيل ولكن تم تكوينه بشكل خاطئ بحيث يتم عرض صفحة خطأ الوكيل.

إفصاح المورّد:

يمكن العثور على إفصاح المورّد والإصلاح الخاص بهذه الثغرة هنا.

المتطلبات:

تتطلب هذه الثغرة:

• وسيلة للوصول إلى صفحة "خطأ الوكيل"
• تفاعل المستخدم

إثبات المفهوم:

يمكن العثور على مزيد من التفاصيل وعملية الاستغلال في هذا PDF.

موارد إضافية:

طريقة بديلة لاستغلال CVE-2019-10092 قدمها Sebastian Neef في هذه التدوينة.