CVE-2024-38476

KritischVeröffentlicht

Apache HTTP Server kann ausnutzbare/bösartige Backend-Anwendungsausgaben verwenden, um lokale Handler über eine interne Weiterleitung auszuführen.

Veröffentlicht: 01.07.2024
Aktualisiert: 03.11.2025
CNA zuweisen: apache
Beweise beobachtet: 06.08.2026

Primäres CVSS

9,8/ 10Kritisch

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS-Wahrscheinlichkeitsschätzung

41,6 %

Mittel · nächste 30 Tage

Perzentil: 98,7 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

Eine Schwachstelle im Kern von Apache HTTP Server 2.4.59 und früheren Versionen ist anfällig für Informationsoffenlegung, SSRF oder lokale Skriptausführung über Backend-Anwendungen, deren Antwort-Header bösartig oder ausnutzbar sind. Benutzern wird empfohlen, auf Version 2.4.60 zu aktualisieren, die dieses Problem behebt.

Quellen

Apache-Authentication-Flaw-Research-CVE-2024-38476-Forschung
Technisches Forschungspapier zur Analyse von CVE-2024-38476, einer kritischen Schwachstelle im Apache HTTP Server, die SSRF, Informationsoffenlegung und potenzielles RCE durch semantische Mehrdeutigkeit bei der Verarbeitung von Backend-Antworten ermöglicht.
apache-vulnerability-testingPoC
Apache HTTP Server Schwachstellen-Testwerkzeug | PoC für CVE-2024-38472 , CVE-2024-39573 , CVE-2024-38477 , CVE-2024-38476 , CVE-2024-38475 , CVE-2024-38474 , CVE-2024-38473 , CVE-2023-38709

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.