NVD / CVE Programı· CNA apache

CVE-2017-9798: Apache httpd allows remote attackers to read secret data from process memory if the Limit directive can be set in a user's .htaccess file…

YüksekCVSS 7.5 · v3.1—Silahlaştırılmış Düzeltme var

Noroxi değerlendirmesi

Öncelik: Bu hafta (aksiyon skoru 60/100)

Hazır saldırı modülü yayımlanmış (Metasploit); sömürmek özel uzmanlık gerektirmiyor.
Hazır saldırı aracı var ve açık ağdan, hesap olmadan sömürülebiliyor; bu yüzden öncelik en az “Bu hafta”.
Önümüzdeki 30 günde sömürülme olasılığı %94,6 (FIRST EPSS); kayıtların %99,8 kadarından yüksek.
İnternetten erişebilen herkes tetikleyebilir. Hesap ya da parola gerekmez. Kullanıcının bir şey yapması gerekmez. Özel bir koşul gerekmez; tekrarlanabilir.
Düzeltilmiş sürüm: apache2 (Alpine:v3.10) 2.4.27-r1; apache2 (Debian:12) 2.4.27-6; apache2 (Debian:7) 2.2.22-13+deb7u12.
Ulusal siber güvenlik bildirimlerinde (siberguvenlik.gov.tr) 1 kez anıldı.

Bir sonraki bakım penceresini beklemeyin. apache2 (Alpine:v3.10) 2.4.27-r1; apache2 (Debian:12) 2.4.27-6; apache2 (Debian:7) 2.2.22-13+deb7u12 ya da daha yeni sürüme yükseltin.

Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz

Birincil kaynaklar: NVD · CVE.org · FIRST EPSS

Apache httpd allows remote attackers to read secret data from process memory if the Limit directive can be set in a user's .htaccess file, or if httpd.conf has certain misconfigurations, aka Optionsbleed. This affects the Apache HTTP Server through 2.2.34 and 2.4.x through 2.4.27. The attacker sends an unauthenticated OPTIONS HTTP request when attempting to read secret data. This is a use-after-free issue and thus secret data is not always sent, and the specific data depends on many factors including configuration. Exploitation with .htaccess can be blocked with a patch to the ap_limit_section function in server/core.c.

Yayın: 18 Eyl 2017
Güncelleme: 16 Haz 2026
EPSS: %94,6 · 99. yüzdelik
CWE: CWE-416

Rapor araçları

JSON

Aksiyon skoru

Bu hafta

Bir sonraki bakım penceresini beklemeyin.

CVSS: 30 / 40 · 7.5 / 10
CISA KEV: 0 / 30 · Listede değil
EPSS: 28 / 30 · %94,6
Hazır saldırı aracı: 2 / 60 · alt sınır: en az 60

Bu kayıt değişirse haber alın

KEV'de değil: sahada sömürü kaydı yok
Silahlaştırılmış istismar var
Düzeltme yayımlandı

Bunlardan biri değişirse günlük e-posta özetinde haber veririz.

Sunucunuzda Apache HTTP Server internete açık mı?Port taraması yap

Sürümünüz etkileniyor mu? Kontrol edin

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.

Bu ürünü kullanıyoruz, yardım isteyin

Etkilenen sistemler

Sürümünüz etkileniyor mu?

Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.

Üretici	Ürün	CPE
apache	http server	cpe:2.3:a:apache:http_server
debian	debian linux	cpe:2.3:o:debian:debian_linux

Bu ürünü (http server) kullanıyor musunuz? Stack’inize ekleyin; bunun gibi kayıtlarda ilk siz haberdar olun. (Apache HTTP)

Sunucunuzda Apache HTTP Server internete açık mı?

Ücretsiz port taraması sunucunuzda açık portları bulur, okuyabildiği servis sürümlerini bilinen açıklarla eşleştirir. Hesap gerekmez.

Port taraması yap

Üreticinin bildirdiği sürümler

Kaydı açan otorite (apache) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

Apache Software Foundation Apache HTTP Server
- Apache HTTP Server through 2.2.34 and 2.4.x through 2.4.27etkilenir

Etkilenen sürümler · NVD (19)

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.

apache http server2.2.34 dahil
apache http server2.4.0
apache http server2.4.1
apache http server2.4.10
apache http server2.4.12
apache http server2.4.16
apache http server2.4.17
apache http server2.4.18
apache http server2.4.2
apache http server2.4.20
apache http server2.4.23
apache http server2.4.25
apache http server2.4.26
apache http server2.4.27
apache http server2.4.3
apache http server2.4.4
apache http server2.4.6
apache http server2.4.7
apache http server2.4.9

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Ekosistem	Paket	Etkilenen aralık	Düzeltme
Alpine:v3.10	apache2	2.4.27-r1 öncesi	2.4.27-r1
Debian:12	apache2	2.4.27-6 öncesi	2.4.27-6
Debian:7	apache2	2.2.22-13+deb7u12 öncesi	2.2.22-13+deb7u12
Debian:8	apache2	2.4.10-10+deb8u11 öncesi	2.4.10-10+deb8u11
Debian:9	apache2	2.4.25-3+deb9u3 öncesi	2.4.25-3+deb9u3
Red Hat:enterprise_linux:6::client	httpd	0:2.2.15-60.el6_9.6 öncesi	0:2.2.15-60.el6_9.6
Red Hat:enterprise_linux:6::client	httpd-debuginfo	0:2.2.15-60.el6_9.6 öncesi	0:2.2.15-60.el6_9.6
Red Hat:enterprise_linux:6::client	httpd-devel	0:2.2.15-60.el6_9.6 öncesi	0:2.2.15-60.el6_9.6
Red Hat:enterprise_linux:6::client	httpd-manual	0:2.2.15-60.el6_9.6 öncesi	0:2.2.15-60.el6_9.6
Red Hat:enterprise_linux:6::client	httpd-tools	0:2.2.15-60.el6_9.6 öncesi	0:2.2.15-60.el6_9.6
Red Hat:enterprise_linux:6::client	mod_ssl	1:2.2.15-60.el6_9.6 öncesi	1:2.2.15-60.el6_9.6
Red Hat:enterprise_linux:7::client	httpd	0:2.4.6-67.el7_4.5 öncesi	0:2.4.6-67.el7_4.5
Red Hat:enterprise_linux:7::client	httpd-debuginfo	0:2.4.6-67.el7_4.5 öncesi	0:2.4.6-67.el7_4.5
Red Hat:enterprise_linux:7::client	httpd-devel	0:2.4.6-67.el7_4.5 öncesi	0:2.4.6-67.el7_4.5
Red Hat:enterprise_linux:7::client	httpd-manual	0:2.4.6-67.el7_4.5 öncesi	0:2.4.6-67.el7_4.5
Red Hat:enterprise_linux:7::client	httpd-tools	0:2.4.6-67.el7_4.5 öncesi	0:2.4.6-67.el7_4.5
Red Hat:enterprise_linux:7::client	mod_ldap	0:2.4.6-67.el7_4.5 öncesi	0:2.4.6-67.el7_4.5
Red Hat:enterprise_linux:7::client	mod_proxy_html	1:2.4.6-67.el7_4.5 öncesi	1:2.4.6-67.el7_4.5
Red Hat:enterprise_linux:7::client	mod_session	0:2.4.6-67.el7_4.5 öncesi	0:2.4.6-67.el7_4.5
Red Hat:enterprise_linux:7::client	mod_ssl	1:2.4.6-67.el7_4.5 öncesi	1:2.4.6-67.el7_4.5
Red Hat:jboss_core_services:1::el6	jbcs-httpd24-httpd	0:2.4.23-125.jbcs.el6 öncesi	0:2.4.23-125.jbcs.el6
Red Hat:jboss_core_services:1::el6	jbcs-httpd24-httpd-debuginfo	0:2.4.23-125.jbcs.el6 öncesi	0:2.4.23-125.jbcs.el6
Red Hat:jboss_core_services:1::el6	jbcs-httpd24-httpd-devel	0:2.4.23-125.jbcs.el6 öncesi	0:2.4.23-125.jbcs.el6
Red Hat:jboss_core_services:1::el6	jbcs-httpd24-httpd-libs	0:2.4.23-125.jbcs.el6 öncesi	0:2.4.23-125.jbcs.el6

+96

Aynı üründe

apache: tüm kayıtlar

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

CVE-2021-42013Path Traversal and Remote Code Execution in Apache HTTP Server 2.4.49 and 2.4.50 (incomplete fix of CVE-2021-41773)KEV
99Hemen
CVE-2021-41773Path traversal and file disclosure vulnerability in Apache HTTP Server 2.4.49KEV
99Hemen
CVE-2024-38475Apache HTTP Server weakness in mod_rewrite when first segment of substitution matches filesystem path.KEV
96Hemen

Bu üründe bundan önce ve sonra yayımlananlar

← ÖncekiCVE-2016-216127 Tem 2017 · In Apache HTTP Server versions 2.4.0 to 2.4.23, malicious input to mod_auth_digest can cause the server to crash, and each instance…
36İzleyin
← ÖncekiCVE-2016-874327 Tem 2017 · Apache HTTP Server, in all releases prior to 2.2.32 and 2.4.25, was liberal in the whitespace accepted from requests and sent in response…
34İzleyin
Sonraki →CVE-2016-86129 Mar 2018 · Apache HTTP Server mod_cluster before version httpd 2.4.23 is vulnerable to an Improper Input Validation in the protocol parsing logic in…
18İzleyin

Düzeltme

Hangi sürüme geçmeli

Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.

Ürün / paket	Düzeltilmiş sürüm	Kaynak
alpine:apache2	2.4.27-r1 · Alpine:v3.10	Paket deposu (OSV)
debian:apache2	2.4.27-6 · Debian:12	Paket deposu (OSV)
red hat:httpd	0:2.4.6-67.el7_4.5 · Red Hat:enterprise_linux:7::client	Paket deposu (OSV)
red hat:httpd-debuginfo	0:2.4.6-67.el7_4.5 · Red Hat:enterprise_linux:7::client	Paket deposu (OSV)
red hat:httpd-devel	0:2.4.6-67.el7_4.5 · Red Hat:enterprise_linux:7::client	Paket deposu (OSV)
red hat:httpd-manual	0:2.4.6-67.el7_4.5 · Red Hat:enterprise_linux:7::client	Paket deposu (OSV)
red hat:httpd-tools	0:2.4.6-67.el7_4.5 · Red Hat:enterprise_linux:7::client	Paket deposu (OSV)
red hat:httpd24	0:1.1-18.el6 · Red Hat:rhel_software_collections:3::el6	Paket deposu (OSV)
red hat:httpd24-httpd	0:2.4.27-8.el6 · Red Hat:rhel_software_collections:3::el6	Paket deposu (OSV)
red hat:httpd24-httpd-debuginfo	0:2.4.27-8.el6 · Red Hat:rhel_software_collections:3::el6	Paket deposu (OSV)
red hat:mod_ldap	0:2.4.6-67.el7_4.5 · Red Hat:enterprise_linux:7::client	Paket deposu (OSV)
red hat:mod_proxy_html	1:2.4.6-67.el7_4.5 · Red Hat:enterprise_linux:7::client	Paket deposu (OSV)
red hat:mod_session	0:2.4.6-67.el7_4.5 · Red Hat:enterprise_linux:7::client	Paket deposu (OSV)
red hat:mod_ssl	1:2.4.6-67.el7_4.5 · Red Hat:enterprise_linux:7::client	Paket deposu (OSV)
suse:apache2	2.4.23-29.6.1 · SUSE:Linux Enterprise Server for Raspberry Pi 12 SP2	Paket deposu (OSV)

İstismar durumu

Silahlaştırılmış

Bu zafiyet için hazır bir istismar aracı ya da sahada aktif kullanım biliniyor. Önceliğiniz en üst düzeyde olmalı.

Kanıt

Metasploit modülü ×1
Exploit-DB kaydı ×1
GitHub’da kavram kanıtı deposu ×4

Noroxi istismar kodu barındırmaz ve istismar bağlantısı vermez. Metasploit modül adı ve Nuclei şablon kimliği gösterilir (kod değil, ad); Exploit-DB kayıtları ve PoC depoları yalnızca sayı olarak verilir.

Kamuya açık istismar kanıtı
Kaynak	Tür	Tarih
GitHub’da kavram kanıtı deposu	4 depo	2017-09-18 → 2017-09-27
Exploit-DB kaydı	webapps	2017-09-18
Metasploit modülü	auxiliary/scanner/http/apache_optionsbleedApache Optionsbleed Scannerauxiliary	2017-09-18

Araştırma bağlamı

Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.

Zaman çizelgesi

Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.

İlk kavram kanıtı18 Eyl 2017aynı gün
Metasploit18 Eyl 2017aynı gün
Yayın18 Eyl 2017
Bugün15 Kas 2026+3345 gün

Yama ve commit bağlantıları

Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.

apache/httpdcommit 4cc2782

Ulusal bildirim (Siber Güvenlik Başkanlığı / USOM)

Bu kaydı anan resmi güvenlik bildirimleri; çözüm önerisi kurumun sayfasında.

TR-17-122 · 21 Eyl 2017(Kritik Apache Optionsbleed Zafiyeti)

Tüm ulusal bildirimler →

Bu kayıtta yok: EPSS geçmişi · araştırmacı kredisi · varyant ya da zincir adayı · herkese açık ödül programı.

Teknik detay

Saldırı koşulları

İnternetten erişebilen herkes tetikleyebilir.
Hesap ya da parola gerekmez.
Kullanıcının bir şey yapması gerekmez.
Özel bir koşul gerekmez; tekrarlanabilir.

Başarılı olursa

Gizlilik: yüksek · veriler okunabilir
Bütünlük: yok
Erişilebilirlik: yok

Saldırı vektörü: Ağ
Karmaşıklık: Düşük
Gereken yetki: Yok
Kullanıcı etkileşimi: Gerekmez
Kapsam: Değişmez
Gizlilik etkisi: Yüksek
Bütünlük etkisi: Yok
Erişilebilirlik etkisi: Yok

Zayıflık sınıfı (CWE)

CWE-416 · Use After Free

CVSS vektörü

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

nvd-primary

Kök neden

Bir bellek alanı serbest bırakıldıktan sonra ona işaret eden başka bir referans kullanılmaya devam ediyor. Aynı alan o sırada başka bir veri için ayrılmış olabilir.

Hatanın kod karşılığı

CWE-416 sınıfının tamamı

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

Hatalı

1free(dev->buf);
2/* ... başka bir iş parçacığı hâlâ çalışıyor ... */
3process(dev->buf);

Düzeltilmiş

1lock(&dev->lock);
2free(dev->buf);
3dev->buf = NULL;
4unlock(&dev->lock);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.

Bu CWE için MITRE'de CAPEC/ATT&CK eşlemesi yok.

Değişiklik günlüğü (1)

Düzeltme✗ → ✓28 Eyl 2026 22:47 UTC

Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →

Referanslar

openwall.com/lists/oss-security/2017/09/18/2

Tüm referansları göster (19 daha)

Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.

Tüm kayıtlar

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Bu ürünü kullanıyoruz, yardım isteyin

Veri kaynakları ve doğrulama

CNA: apache

CVE.org (CNA)4 Kas 2025 16:09 UTC
NVD16 Haz 2026 21:28 UTC
FIRST EPSS12 Kas 2026 00:00 UTC
OSV / GHSA13 Kas 2026 03:18 UTC
Exploit-DB13 Kas 2026 03:17 UTC
Metasploit13 Kas 2026 03:18 UTC
PoC-in-GitHub13 Kas 2026 03:18 UTC

Her satır, o kaynağın bu kayıt için son işlendiği zamandır.

CVE-2017-9798: Apache httpd allows remote attackers to read secret data from process memory if the Limit directive can be set in a user's .htaccess file…

Noroxi değerlendirmesi

Bu kayıt değişirse haber alın

CVE-2017-9798 kaydını takip edin

Sizin ortamınızda ne anlama geliyor?

Etkilenen sistemler

Sürümünüz etkileniyor mu?

http server için yeni CVE'leri izleyin

Üreticinin bildirdiği sürümler

Paket düzeyi etkilenme

Aynı üründe

Düzeltme

Hangi sürüme geçmeli

İstismar durumu

Araştırma bağlamı

Zaman çizelgesi

Yama ve commit bağlantıları

Ulusal bildirim (Siber Güvenlik Başkanlığı / USOM)

Teknik detay

Saldırı koşulları

Başarılı olursa

Kök neden

Hatanın kod karşılığı

Saldırı bağlamı

Referanslar