CVE-2018-11759
Apache Web Server (httpd) का विशिष्ट कोड जो Apache Tomcat JK (mod_jk) कनेक्टर 1.2.0 से 1.2.44 में URI-वर्कर मैप से मिलान करने से पहले अनुरोधित पथ को सामान्यीकृत करता था, कुछ एज केसों को सही ढंग से...
- प्रकाशित
- 31 अक्टू॰ 2018
- अद्यतन
- 5 अग॰ 2024
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.0
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:Nउच्च · अगले 30 दिन
- प्रतिशत
- 99.8%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Apache Web Server (httpd) का विशिष्ट कोड जो Apache Tomcat JK (mod_jk) कनेक्टर 1.2.0 से 1.2.44 में URI-वर्कर मैप से मिलान करने से पहले अनुरोधित पथ को सामान्यीकृत करता था, कुछ एज केसों को सही ढंग से संभाल नहीं पाया। यदि Tomcat द्वारा समर्थित URL का केवल एक उप-समूह httpd के माध्यम से उजागर किया गया था, तो एक विशेष रूप से निर्मित अनुरोध के माध्यम से रिवर्स प्रॉक्सी के माध्यम से एप्लिकेशन कार्यक्षमता को उजागर करना संभव था, जो रिवर्स प्रॉक्सी के माध्यम से एप्लिकेशन तक पहुँचने वाले क्लाइंट्स के लिए अभिप्रेत नहीं थी। कुछ कॉन्फ़िगरेशन में, एक विशेष रूप से निर्मित अनुरोध httpd में कॉन्फ़िगर किए गए एक्सेस नियंत्रणों को बायपास करना भी संभव था। हालाँकि इस मुद्दे और CVE-2018-1323 के बीच कुछ ओवरलैप है, ये समान नहीं हैं।
स्रोत
http/cves/2018/CVE-2018-11759.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
CVE-2018-11759 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट जो विशेष रूप से तैयार किए गए अनुरोधों के माध्यम से रिवर्स प्रॉक्सी प्रतिबंधों को बायपास करके Apache mod_jk एक्सेस बायपास को प्रदर्शित करता है।
- Identificador-CVE-2018-11759एक्सप्लॉइट
Apache Tomcat इंस्टेंस में CVE-2018-11759 का पता लगाने और शोषण करने के लिए Bash स्क्रिप्ट, जिसमें लक्ष्य लोड बैलेंसर विवरण, आंतरिक पते और रूट का ऑडिट लॉगिंग शामिल है।
- Identificador-CVE-2018-11759एक्सप्लॉइट
यह एक्सप्लॉइट CVE 2018-11759 के लिए है, apache mod_jk में भेद्यता, लोड-बैलेंसर के लिए मॉड्यूल
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।