从这个网页截图中，可以获取到以下关于漏洞的关键信息： 1. 漏洞描述： - 标题：Header normalization allows for client to clobber proxy set headers - 发布者：nateberkopec - 漏洞编号：GHSA-9hf4-67fc-4vf4 - 发布时间：20小时之前 2. 受影响的版本： - 受影响的版本：= 6.4.3, >= 5.6.9 3. 严重性： - 严重性等级：Moderate - CVSS v3 base metrics： - Attack vector：Network - Attack complexity：High - Privileges required：None - User interaction：None - Scope：Unchanged - Confidentiality：High - Integrity：None - Availability：None - CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N 4. 影响： - 客户端可以通过提供带有下划线的版本（如X-Forwarded-For）来覆盖由代理设置的头部。任何依赖于代理设置的头部的用户都可能受到影响。攻击者可能能够降级连接到HTTP（非SSL）或重定向响应，这可能会导致机密性泄露，如果与单独的MITM攻击结合使用。 5. 补丁： - v6.4.3/v5.6.9现在会丢弃任何使用下划线的头部，如果非下划线版本也存在。这实际上允许代理定义的头部始终获胜。 6. 工作绕过： - Nginx有一个underscores_in_headers配置变量，可以在代理级别丢弃这些头部。 - 任何依赖于代理定义的头部进行安全或可用性检查的用户应立即停止这样做，直到升级到已修复的版本。 7. 漏洞编号： - CVE-2024-45614 8. 弱点： - CWE-444