Межсайтовое выполнение сценариев

Средняя (4.3)

(AV:N/AC:M/Au:N/C:N/I:P/A:N)

Apache Software Foundation

Apache HTTP Server (2.0.46, 2.0.59, 2.2.0, 2.2.4)

Apache HTTP Server не очищает заголовок спецификатора HTTP Method HTTP-запроса, когда он отображается в сообщении об ошибке "413 Request Entity Too Large", что позволяет проводить атаки межсайтового скриптинга, используя компоненты веб-клиента, который может отправлять произвольные заголовки в запросах, как показано на примере HTTP-запроса, содержащего некорректное значение Content-length.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
http://www.apache.org/

BUGTRAQ (20071130 PR07-37: XSS on Apache HTTP Server 413 error pages via malformed HTTP method): http://www.securityfocus.com/archive/1/archive/1/484410/100/0/threaded
http://procheckup.com/Vulnerability_PR07-37.php
BID (26663): http://www.securityfocus.com/bid/26663
FRSIRT (ADV-2007-4060): http://www.frsirt.com/english/advisories/2007/4060
SECTRACK (1019030): http://www.securitytracker.com/id?1019030
XF (apache-413error-xss(38800)): http://xforce.iss.net/xforce/xfdb/38800
AIXAPAR (PK57952): http://www-1.ibm.com/support/docview.wss?uid=swg1PK57952
FRSIRT (ADV-2007-4301): http://www.frsirt.com/english/advisories/2007/4301