Apache mod_negotiation HTML注入和HTTP拆分漏洞

lukeji3

Apache mod_negotiation HTML注入和HTTP拆分漏洞
受影响系统：
Apache Group Apache <=1.3.39
Apache Group Apache <= 2.2.6
Apache Group Apache <= 2.0.61

描述：
Apache HTTP Server是一款流行的Web服务器。

Apache的Mod_negotiation没有正确地过滤406 Not Acceptable响应和300 Multiple Choices消息体中的文件名，这可能导致跨站脚本攻击；此外由于也未经过滤便发送了文件名列表，因此如果文件名中包含有换行符的话还可能导致HTTP响应拆分。

厂商补丁：
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.apache.org