Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidad en Servidor HTTP Apache (CVE-2011-3639)

Gravedad CVSS v2.0:
MEDIA
Tipo:
CWE-20 Validación incorrecta de entrada
Fecha de publicación:
30/11/2011
Última modificación:
11/04/2025

Descripción

El módulo mod_proxy en el servidor HTTP Apache v2.0.x hasta v2.0.64 y v2.2.x hasta v2.2.18, cuando la revisión 1179239 se realiza, no interactúa con el uso de patrones de coincidencia (1) RewriteRule y (2) ProxyPassMatch para configuración de un proxy inverso, lo que permite a atacantes remotos enviar peticiones a servidores de la intranet a través de URI mal formadas que contienen el caracter '@': caracter en una posición inválida. NOTA: esta vulnerabilidad existe debido a una solución incompleta para CVE-2011-3368.

Impacto

Vector 2.0
AV:N/AC:M/Au:N/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.30 MEDIA
Vector: AV:N/AC:M/Au:N/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno

Puntuación base 2.0
4.30
Gravedad 2.0
MEDIA

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:apache:http_server:2.0.11:*:*:*:*:*:*:*
cpe:2.3:a:apache:http_server:2.0.12:*:*:*:*:*:*:*
cpe:2.3:a:apache:http_server:2.0.13:*:*:*:*:*:*:*
cpe:2.3:a:apache:http_server:2.0.14:*:*:*:*:*:*:*
cpe:2.3:a:apache:http_server:2.0.15:*:*:*:*:*:*:*
cpe:2.3:a:apache:http_server:2.0.16:*:*:*:*:*:*:*
cpe:2.3:a:apache:http_server:2.0.17:*:*:*:*:*:*:*
cpe:2.3:a:apache:http_server:2.0.18:*:*:*:*:*:*:*
cpe:2.3:a:apache:http_server:2.0.19:*:*:*:*:*:*:*
cpe:2.3:a:apache:http_server:2.0.20:*:*:*:*:*:*:*
cpe:2.3:a:apache:http_server:2.0.21:*:*:*:*:*:*:*
cpe:2.3:a:apache:http_server:2.0.22:*:*:*:*:*:*:*
cpe:2.3:a:apache:http_server:2.0.23:*:*:*:*:*:*:*
cpe:2.3:a:apache:http_server:2.0.24:*:*:*:*:*:*:*
cpe:2.3:a:apache:http_server:2.0.25:*:*:*:*:*:*:*

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página


Referencias a soluciones, herramientas e información