Apache HTTP Server: Mehrere Schwachstellen
WID-SEC-2024-1504 · erstmals 02.07.2024 · aktualisiert 23.10.2026 · CVSS 8,2
Worum es geht
Apache ist ein Webserver für verschiedene Plattformen. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Apache HTTP Server ausnutzen, um beliebigen Code auszuführen, einen Denial-of-Service-Zustand herbeizuführen, Sicherheitsmaßnahmen zu umgehen oder vertrauliche Informationen offenzulegen.
Unter welchen Bedingungen?
Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- beliebigen Code auszuführen
- einen Denial-of-Service-Zustand herbeizuführen
- Sicherheitsmaßnahmen zu umgehen oder vertrauliche Informationen offenzulegen
Bin ich betroffen?
Betroffen sind laut BSI:
- Debian Linux
- IBM Tivoli Monitoring 6.3.0.7
- Amazon Linux 2
- IBM Power Hardware Management Console
- Red Hat Enterprise Linux
- Fedora Linux
- Ubuntu Linux
- F5 BIG-IP
- SUSE Linux
- IBM HTTP Server 8.5
- Oracle Linux
- IBM HTTP Server 9.0
und 34 weitere
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Apache HTTP Server 2.4.60
- Dell PowerScale OneFS OneFS 9.8.0.1
- Dell NetWorker 19.10.0.5
- IBM Rational Build Forge 8.0.0.27
- Dell PowerScale OneFS OneFS 9.4.0.20
- Dell PowerScale OneFS OneFS 9.5.1.1
- Dell PowerScale OneFS OneFS 9.7.1.3
- Dell PowerScale OneFS OneFS 9.9.0.1
- SonicWall SMA 10.2.1.14-75sv
- Xerox FreeFlow Print Server 9.0 SP-3 (93.M3.14.86)
- Dell ECS 3.8.1.3
- HPE HP-UX 11.31
Wird die Lücke schon ausgenutzt?
- CVE-2024-38475: laut CISA in freier Wildbahn ausgenutzt, im Katalog seit 01.05.2025.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Dell Security Advisory DSA-2024-483 vom 2024-12-18 www.dell.com
- XEROX Security Advisory XRX24-019 vom 2024-12-17 security.business.xerox.com
- XEROX Security Advisory XRX25-001 vom 2025-01-13 securitydocs.business.xerox.com
- Apache Advisory vom 2024-07-01 httpd.apache.org
- Red Hat Bugzilla vom 2024-07-01 bugzilla.redhat.com
- Red Hat Bugzilla vom 2024-07-01 bugzilla.redhat.com
- Red Hat Bugzilla vom 2024-07-01 bugzilla.redhat.com
- Red Hat Bugzilla vom 2024-07-01 bugzilla.redhat.com
- Red Hat Bugzilla vom 2024-07-01 bugzilla.redhat.com
- Red Hat Bugzilla vom 2024-07-01 bugzilla.redhat.com
- Red Hat Bugzilla vom 2024-07-01 bugzilla.redhat.com
- Apache HTTP Server seclists.org
- Rocky Linux Security Advisory RLSA-2024:4197 vom 2024-07-02 errata.build.resf.org
- Fedora Security Advisory FEDORA-2024-39F1A828ED vom 2024-07-03 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-2024-E7E73BEFAD vom 2024-07-03 bodhi.fedoraproject.org
- Ubuntu Security Notice USN-6885-1 vom 2024-07-08 ubuntu.com
- IBM Security Bulletin 7159849 vom 2024-07-09 www.ibm.com
- Fedora Security Advisory FEDORA-2024-661BB6322D vom 2024-07-11 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-2024-CB8ACBF644 vom 2024-07-11 bodhi.fedoraproject.org
- IBM Security Bulletin 7160019 vom 2024-07-11 www.ibm.com
- SUSE Security Update SUSE-SU-2024:2405-1 vom 2024-07-11 lists.suse.com
- Debian Security Advisory DSA-5729 vom 2024-07-12 lists.debian.org
- Ubuntu Security Notice USN-6885-2 vom 2024-07-11 ubuntu.com
- SUSE Security Update SUSE-SU-2024:2560-1 vom 2024-07-18 lists.suse.com
- Amazon Linux Security Advisory ALAS-2024-2594 vom 2024-07-23 alas.aws.amazon.com
und 105 weitere Quellen in der Originalmeldung
CVE: CVE-2023-38709, CVE-2024-36387, CVE-2024-38472, CVE-2024-38473, CVE-2024-38474, CVE-2024-38475, CVE-2024-38476, CVE-2024-38477, CVE-2024-39573
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.