IBM HTTP Server Multiple Vulnerabilities Advisory (RCE/DoS)

漏洞概述 IBM HTTP Server 存在多个漏洞，具体包括： 1. CVE-2026-8850 - 描述: IBM HTTP Server 通过可选模块 mod_ibm_upload 易受拒绝服务攻击。 - CWE: CWE-476: NULL 指针解引用 - CVSS 基础评分: 7.5 2. CVE-2026-8855 - 描述: IBM HTTP Server 在配置 TLS 相互认证（客户端认证）时易受远程代码执行和拒绝服务攻击。 - CWE: CWE-94: 代码生成控制不当（代码注入） - CVSS 基础评分: 8.1 3. CVE-2026-8835 - 描述: IBM HTTP Server 易受无效指针解引用攻击。经过身份验证的管理员服务器用户可能利用此漏洞暴露敏感信息或导致拒绝服务。 - CWE: CWE-822: 未信任指针解引用 - CVSS 基础评分: 7.3 4. CVE-2026-8834 - 描述: IBM HTTP Server 存在缓冲区溢出漏洞。经过身份验证的管理员服务器用户可能利用此漏洞执行远程代码或导致拒绝服务。 - CWE: CWE-122: 基于堆的缓冲区溢出 - CVSS 基础评分: 8 5. CVE-2026-8856 - 描述: IBM HTTP Server 在攻击者有权访问服务器配置部分时易受拒绝服务攻击。 - CWE: CWE-400: 不受控资源消耗 - CVSS 基础评分: 7.7 6. CVE-2026-45186 - 描述: 在 libexpat 2.8.1 之前，属性名称碰撞检查的计算复杂性允许通过中等大小的伪造 XML 输入导致拒绝服务。 - CWE: CWE-407: 低效算法复杂性 - CVSS 基础评分: 7.5 7. CVE-2026-8852 - 描述: IBM HTTP Server 通过可选模块 mod_fastcgi 易受拒绝服务攻击。 - CWE: CWE-617: 可达断言 - CVSS 基础评分: 6.2 8. CVE-2026-8854 - 描述: IBM HTTP Server 通过可选模块 mod_mem_cache 易受拒绝服务攻击。 - CWE: CWE-825: 过期指针解引用 - CVSS 基础评分: 7.5 9. CVE-2026-9170 - 描述: IBM HTTP Server 易受拒绝服务和潜在远程代码执行攻击，由于输入验证不当。 - CWE: CWE-94: 代码生成控制不当（代码注入） - CVSS 基础评分: 9.8 影响范围 受影响产品: IBM HTTP Server 受影响版本: - IBM HTTP Server 8.5 - IBM HTTP Server 9.0 修复方案 IBM 强烈建议立即通过应用当前可用的临时修复或包含修复的修复包来解决漏洞，修复包为 APAR PH71265。 对于 IBM HTTP Server 9.0.0.0 至 9.0.5.28: - 升级到最小修复包级别，然后应用解决 PH71265 的临时修复。 - 或者，应用 Fix Pack 9.0.5.29 或更高版本（目标可用性 2026 年第三季度）。 对于 IBM HTTP Server 8.5.0.0 至 8.5.5.29: - 升级到最小修复包级别，然后应用解决 PH71265 的临时修复。 - 或者，应用 Fix Pack 8.5.5.30 或更高版本（目标可用性 2026 年第三季度）。 重要提示 IBM 强烈建议所有 System z 客户订阅 System z 安全门户，以接收最新的系统 z 安全和完整性服务。如果不订阅，请参阅 System z 安全网站上的说明。安全和完整性 APAR 及相关修复将发布到此门户。IBM 建议审查 CVSS 评分并尽快应用所有安全或完整性修复，以尽量减少潜在风险。 变通方法和缓解措施 无 获取未来安全公告的通知 订阅 My Notifications 以接收重要产品支持警报的通知。 参考 完整 CVSS v3 指南 在线计算器 v3 相关信息 IBM 安全工程 Web 门户 IBM 产品安全事件响应博客 致谢 无 变更历史 2026 年 5 月 26 日：初始发布 免责声明 根据事件响应和安全团队（FIRST）的说法，通用漏洞评分系统（CVSS）是一个“行业开放标准”，旨在传达漏洞严重性和帮助确定响应的紧迫性和优先级。IBM 提供 CVSS 评分“按原样”，不提供任何明示或暗示的保证，包括但不限于对适销性和特定用途适用性的暗示保证。客户负责评估任何实际或潜在安全漏洞的影响。此外，IBM 定期更新其产品组合中组件的记录。作为该努力的一部分，IBM 识别以前未识别的产品/服务库存中的漏洞。旧 CVE 日期的包含并不表明引用的产品自该日期以来已被 IBM 使用，也不表明 IBM 当时知道该漏洞。我们正努力让客户了解相关漏洞，因为我们成为它们的“受影响产品和版本”引用的 IBM 安全公告仅指支持和未过期的产品和版本。因此，引用不受支持或延长支持的产品和版本在此安全公告中不构成 IBM 不受该漏洞影响的认定。引用一个或多个不受支持版本在此安全公告中不会为 IBM 为不受支持或延长支持的产品或版本提供修复的义务。

目標達成すべての支援者に感謝 — 100%達成しました！

IBM HTTP Server Multiple Vulnerabilities Advisory (RCE/DoS)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

IBM HTTP Server Multiple Vulnerabilities Advisory (RCE/DoS)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！