Descripción
Apache HTTP Server contiene una vulnerabilidad de escape incorrecto de la salida en mod_rewrite que permite a un atacante asignar URL a ubicaciones del sistema de archivos que el servidor tiene permitido servir, pero que no son accesibles de forma intencional o directa mediante ninguna URL, lo que provoca ejecución de código o divulgación del código fuente.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Esta vulnerabilidad afecta a un componente de código abierto común, una biblioteca de terceros o un protocolo utilizado por distintos productos. Consulte con cada fabricante para obtener información sobre el estado de los parches. Para más información, consulte httpd.apache.org/security/vulnerabilities_24.html
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2024-38475
Ver el texto original en inglés (CISA)
Apache HTTP Server Improper Escaping of Output Vulnerability
Apache HTTP Server contains an improper escaping of output vulnerability in mod_rewrite that allows an attacker to map URLs to filesystem locations that are permitted to be served by the server but are not intentionally/directly reachable by any URL, resulting in code execution or source code disclosure.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: This vulnerability affects a common open-source component, third-party library, or a protocol used by different products. Please check with specific vendors for information on patching status. For more information, please see: https://httpd.apache.org/security/vulnerabilities_24.html ; https://nvd.nist.gov/vuln/detail/CVE-2024-38475
Otras vulnerabilidades de Apache en el catálogo
- CVE-2016-3081 Vulnerabilidad de inyección de comandos en Apache Struts Alta 08-10-2026
- CVE-2026-34486 Vulnerabilidad de falta de cifrado de datos sensibles en Apache Tomcat Alta 04-08-2026
- CVE-2026-34197 Vulnerabilidad de validación incorrecta de la entrada en Apache ActiveMQ Alta 16-04-2026
- CVE-2025-24813 Vulnerabilidad de equivalencia de rutas en Apache Tomcat Alta 01-04-2025
- CVE-2024-45195 Apache OFBiz Forced Browsing Vulnerability Alta 04-02-2025