CVE-2007-6750_ Apache HTTP Server 资源管理错误漏洞

世界尽头与你2026-01-21 9:53

CVSS评分：5.0

1. 漏洞原理

Apache（尤其是老版本）通常使用以下模型之一：

每个 HTTP 请求都会占用：一个进程 / 线程且占用一定的内存、文件描述符、socket

Apache 在处理某些异常 HTTP 请求时：请求可以被成功接收，但无法被正常解析完成，这时候连接不会立刻关闭，进程/线程会一直阻塞或长时间占用，最终造成 ddos 攻击

一般的测试方法：通过 curl 分析不同的响应时间对比，判断是否存在漏洞：

bash 复制代码

# 应该很快返回
time curl -X POST http://127.0.0.1/ \
  -H "Content-Length: 10" \
  --max-time 5

bash 复制代码

# 应该超时或明显时间变慢
time curl -X POST http://127.0.0.1/ \
  -H "Content-Length: 10" \
  --data "X-a: b" \
  --limit-rate 1 \
  --max-time 30

导致网站不可用，建议尽快修复

微步定义为中风险，但该漏洞实际收益价值较低，暂未发现在野利用

升级版本修复：