重點

原始碼儲存庫

文件

參與貢獻

子專案

相關專案

其他

Apache HTTP Server 1.3 漏洞

此頁面列出已發布版本 Apache HTTP Server 1.3 中已修復的所有安全漏洞。每個漏洞都由 Apache 安全團隊給予安全影響評級 - 請注意，此評級可能會因平台而異。我們還列出了已知受漏洞影響的版本，以及尚未驗證的漏洞版本，並在版本號後加上問號。

請注意，如果下方顯示的漏洞在「-dev」版本中已修復，則表示已將修復程式套用至開發原始碼樹，並且將成為即將推出的完整版本的一部分。

請將這些漏洞的意見或更正發送至安全團隊。


Apache httpd 1.3 自 2010 年以來沒有新版本，不應再使用。此頁面僅列出 2010 年 3 月之前發生的安全問題。後續問題可能也會影響 1.3，但將不再進行調查或列於此處。建議使用者升級至目前支援的發行版本，以解決已知問題。


已在 Apache HTTP Server 1.3.42 中修復

中等64 位元系統上的 mod_proxy 溢位(CVE-2010-0010)

在 mod_proxy 模組中發現數值類型轉換錯誤的漏洞，該漏洞會影響某些 64 位元架構系統。惡意 HTTP 伺服器（請求被代理到該伺服器）可能會利用此漏洞，透過精心設計的回應觸發 httpd 子進程中的堆積緩衝區溢位。

已回報給安全團隊2009-12-30
問題公開2010-01-27
已釋出更新 1.3.422010-02-03
影響1.3.41, 1.3.39, 1.3.37, 1.3.36, 1.3.35, 1.3.34, 1.3.33, 1.3.32, 1.3.31, 1.3.29, 1.3.28, 1.3.27, 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2

已在 Apache HTTP Server 1.3.41 中修復

中等mod_imagemap XSS 漏洞(CVE-2007-5000)

在 mod_imagemap 模組中發現一個漏洞。在啟用 mod_imagemap 且映像地圖檔公開可用的網站上，可能會發生跨網站指令碼攻擊。

已回報給安全團隊2007-10-23
問題公開2007-12-11
已釋出更新 2.2.82008-01-19
已釋出更新 2.0.632008-01-19
已釋出更新 1.3.412008-01-19
影響2.2.6, 2.2.5, 2.2.4, 2.2.3, 2.2.2, 2.2.0, 2.0.61, 2.0.59, 2.0.58, 2.0.55, 2.0.54, 2.0.53, 2.0.52, 2.0.51, 2.0.50, 2.0.49, 2.0.48, 2.0.47, 2.0.46, 2.0.45, 2.0.44, 2.0.43, 2.0.42, 2.0.40, 2.0.39, 2.0.37, 2.0.36, 2.0.35, 1.3.39, 1.3.37, 1.3.36, 1.3.35, 1.3.34, 1.3.33, 1.3.32, 1.3.31, 1.3.29, 1.3.28, 1.3.27, 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0

中等mod_status XSS 漏洞(CVE-2007-6388)

在 mod_status 模組中發現一個漏洞。在啟用 mod_status 且狀態頁面公開可用的網站上，可能會發生跨網站指令碼攻擊。請注意，預設情況下不會啟用伺服器狀態頁面，最佳做法是不要將其公開。

已回報給安全團隊2007-12-15
問題公開2008-01-02
已釋出更新 2.2.82008-01-19
已釋出更新 2.0.632008-01-19
已釋出更新 1.3.412008-01-19
影響2.2.6, 2.2.5, 2.2.4, 2.2.3, 2.2.2, 2.2.0, 2.0.61, 2.0.59, 2.0.58, 2.0.55, 2.0.54, 2.0.53, 2.0.52, 2.0.51, 2.0.50, 2.0.49, 2.0.48, 2.0.47, 2.0.46, 2.0.45, 2.0.44, 2.0.43, 2.0.42, 2.0.40, 2.0.39, 2.0.37, 2.0.36, 2.0.35, 1.3.39, 1.3.37, 1.3.36, 1.3.35, 1.3.34, 1.3.33, 1.3.32, 1.3.31, 1.3.29, 1.3.28, 1.3.27, 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2

已在 Apache HTTP Server 1.3.39 中修復

中等mod_status 跨網站指令碼攻擊(CVE-2006-5752)

在 mod_status 模組中發現一個漏洞。在伺服器狀態頁面公開可用且啟用 ExtendedStatus 的網站上，可能會導致跨網站指令碼攻擊。請注意，預設情況下不會啟用伺服器狀態頁面，最佳做法是不要將其公開。

已回報給安全團隊2006-10-19
問題公開2007-06-20
已釋出更新 1.3.392007-09-07
已釋出更新 2.0.612007-09-07
已釋出更新 2.2.62007-09-07
影響2.2.4, 2.2.3, 2.2.2, 2.2.0, 2.0.59, 2.0.58, 2.0.55, 2.0.54, 2.0.53, 2.0.52, 2.0.51, 2.0.50, 2.0.49, 2.0.48, 2.0.47, 2.0.46, 2.0.45, 2.0.44, 2.0.43, 2.0.42, 2.0.40, 2.0.39, 2.0.37, 2.0.36, 2.0.35, 1.3.37, 1.3.36, 1.3.35, 1.3.34, 1.3.33, 1.3.32, 1.3.31, 1.3.29, 1.3.28, 1.3.27, 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2

中等傳送訊號給任意程序(CVE-2007-3304)

Apache HTTP 伺服器在向程序發送訊號之前，不會驗證該程序是否為 Apache 子程序。能夠在 HTTP 伺服器上執行指令碼的本地攻擊者可能會操控記分板，並導致任意程序被終止，從而導致服務阻斷。

已回報給安全團隊2006-05-15
問題公開2007-06-19
已釋出更新 2.0.612007-09-07
已釋出更新 2.2.62007-09-07
已釋出更新 1.3.392007-09-07
影響2.2.4, 2.2.3, 2.2.2, 2.2.0, 2.0.59, 2.0.58, 2.0.55, 2.0.54, 2.0.53, 2.0.52, 2.0.51, 2.0.50, 2.0.49, 2.0.48, 2.0.47, 2.0.46, 2.0.45, 2.0.44, 2.0.43, 2.0.42, 2.0.40, 2.0.39, 2.0.37, 2.0.36, 2.0.35, 1.3.37, 1.3.36, 1.3.35, 1.3.34, 1.3.33, 1.3.32, 1.3.31, 1.3.29, 1.3.28, 1.3.27, 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0

已在 Apache HTTP Server 1.3.37 中修復

重要mod_rewrite 超出一錯誤(CVE-2006-3747)

Rewrite 模組 (mod_rewrite) 中存在超出一的漏洞。根據 Apache httpd 的編譯方式，此軟體缺陷可能會導致漏洞，如果與 Web 伺服器設定檔中的某些類型的 Rewrite 規則結合使用，可能會被遠端觸發。對於易受攻擊的版本，漏洞的性質可能是服務阻斷（Web 伺服器程序崩潰）或可能允許執行任意程式碼。

已回報給安全團隊2006-07-21
問題公開2006-07-27
已釋出更新 2.2.32006-07-27
已釋出更新 2.0.592006-07-27
已釋出更新 1.3.372006-07-27
影響2.2.2, 2.2.0, 2.0.58, 2.0.55, 2.0.54, 2.0.53, 2.0.52, 2.0.51, 2.0.50, 2.0.49, 2.0.48, 2.0.47, 2.0.46, 1.3.36, 1.3.35, 1.3.34, 1.3.33, 1.3.32, 1.3.31, 1.3.29, 1.3.28

已在 Apache HTTP Server 1.3.35 中修復

中等mod_imap Referer 跨網站指令碼攻擊(CVE-2005-3352)

mod_imap 在將 Referer 指令與映像地圖一起使用時出現漏洞。在某些網站設定中，如果可以使用某些 Web 瀏覽器強制受害者造訪惡意 URL，則遠端攻擊者可能會執行跨網站指令碼攻擊。

已回報給安全團隊2005-11-01
問題公開2005-12-12
已釋出更新 2.2.22006-05-01
已釋出更新 2.0.582006-05-01
已釋出更新 1.3.352006-05-01
影響2.2.0, 2.0.55, 2.0.54, 2.0.53, 2.0.52, 2.0.51, 2.0.50, 2.0.49, 2.0.48, 2.0.47, 2.0.46, 2.0.45, 2.0.44, 2.0.43, 2.0.42, 2.0.40, 2.0.39, 2.0.37, 2.0.36, 2.0.35, 1.3.34, 1.3.33, 1.3.32, 1.3.31, 1.3.29, 1.3.28, 1.3.27, 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0

中等Expect 標頭跨網站指令碼攻擊(CVE-2006-3918)

處理無效 Expect 標頭時出現漏洞。如果攻擊者可以影響受害者傳送到目標網站的 Expect 標頭，則可能會執行跨網站指令碼攻擊。眾所周知，某些版本的 Flash 可以設定任意的 Expect 標頭，從而觸發此漏洞。未將其標記為 2.0 或 2.2 的安全問題，因為只有在伺服器逾時連線後，才會將跨網站指令碼傳回給受害者。

已回報給安全團隊--
問題公開2006-05-08
已釋出更新 1.3.352006-05-01
影響1.3.34, 1.3.33, 1.3.32, 1.3.31, 1.3.29, 1.3.28, 1.3.27, 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3

已在 Apache HTTP Server 1.3.33 中修復

中等mod_include 溢位(CVE-2004-0940)

mod_include 中的緩衝區溢位可能會允許有權建立伺服器端包含 (SSI) 檔案的本地使用者取得 httpd 子程序的權限。

已回報給安全團隊2004-10-21
問題公開2004-10-21
已釋出更新 1.3.332004-10-28
影響1.3.32, 1.3.31, 1.3.29, 1.3.28, 1.3.27, 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0

已在 Apache HTTP Server 1.3.32 中修復

中等mod_proxy 緩衝區溢位(CVE-2004-0492)

在 Apache 代理模組 (mod_proxy) 中發現一個緩衝區溢位漏洞，該漏洞可透過接收無效的 Content-Length 標頭來觸發。為了利用此問題，攻擊者需要取得設定為代理的 Apache 安裝，才能連線到惡意網站。這會導致處理請求的 Apache 子程序崩潰，儘管這並不代表嚴重的服務阻斷攻擊，因為其他 Apache 子程序將繼續處理請求。此問題可能會在某些 BSD 平台上導致遠端執行任意程式碼。

已回報給安全團隊2003-06-08
問題公開2003-06-10
已釋出更新 1.3.322004-10-20
影響1.3.31, 1.3.29, 1.3.28, 1.3.27, 1.3.26

已在 Apache HTTP Server 1.3.31 中修復

低錯誤日誌跳脫字元過濾(CVE-2003-0020)

Apache 不會從錯誤日誌中過濾終端機跳脫序列，這可能會讓攻擊者更容易將這些序列插入包含與跳脫序列相關漏洞的終端機模擬器中。

已回報給安全團隊2003-02-24
問題公開2003-02-24
已釋出更新 1.3.312004-05-12
已釋出更新 2.0.492004-03-19
影響2.0.48, 2.0.47, 2.0.46, 2.0.45, 2.0.44, 2.0.43, 2.0.42, 2.0.40, 2.0.39, 2.0.37, 2.0.36, 2.0.35, 1.3.29, 1.3.28, 1.3.27, 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0

低mod_digest nonce 檢查(CVE-2003-0987)

mod_digest 未透過使用 AuthNonce 秘密金鑰正確驗證用戶端回應的 nonce。這可能會允許能夠竊聽網路流量的惡意使用者對使用 Digest 保護的網站進行重播攻擊。請注意，mod_digest 執行的是舊版 MD5 Digest 驗證規範，已知該規範無法與現代瀏覽器搭配使用。此問題不會影響 mod_auth_digest。

已回報給安全團隊2003-12-18
問題公開2003-12-18
已釋出更新 1.3.312004-05-12
影響1.3.29, 1.3.28, 1.3.27, 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0

重要在 Big-Endian 64 位元平台上允許/拒絕剖析(CVE-2003-0993)

在 Big-Endian 64 位元平台上，使用沒有網路遮罩的 IP 位址剖析允許/拒絕規則時出現錯誤，導致規則無法匹配。

已回報給安全團隊2003-10-15
問題公開2003-10-15
已釋出更新 1.3.312004-05-12
影響1.3.29, 1.3.28, 1.3.27, 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0

重要監聽 Socket 耗盡(CVE-2004-0174)

當很少存取的監聽 Socket 上出現短暫連線時，會發生監聽 Socket 耗盡問題，這會導致子程序持有接受 Mutex，並封鎖新連線，直到該很少存取的監聽 Socket 上出現另一個連線為止。已知此問題會影響某些版本的 AIX、Solaris 和 Tru64；已知不會影響 FreeBSD 或 Linux。

已回報給安全團隊2004-02-25
問題公開2004-03-18
已釋出更新 1.3.312004-05-12
已釋出更新 2.0.492004-03-19
影響2.0.48, 2.0.47, 2.0.46, 2.0.45, 2.0.44, 2.0.43, 2.0.42, 2.0.40, 2.0.39, 2.0.37, 2.0.36, 2.0.35, 1.3.29, 1.3.28?, 1.3.27?, 1.3.26?, 1.3.24?, 1.3.22?, 1.3.20?, 1.3.19?, 1.3.17?, 1.3.14?, 1.3.12?, 1.3.11?, 1.3.9?, 1.3.6?, 1.3.4?, 1.3.3?, 1.3.2?, 1.3.1?, 1.3.0?

已在 Apache HTTP Server 1.3.29 中修復

低本地設定正規表示式溢位(CVE-2003-0542)

透過使用具有超過 9 個擷取的正規表示式，可能會在 mod_alias 或 mod_rewrite 中發生緩衝區溢位。若要利用此漏洞，攻擊者必須能夠建立精心設計的設定檔 (.htaccess 或 httpd.conf)

已回報給安全團隊2003-08-04
問題公開2003-10-27
已釋出更新 1.3.292003-10-27
已釋出更新 2.0.482003-10-27
影響2.0.47, 2.0.46, 2.0.45, 2.0.44, 2.0.43, 2.0.42, 2.0.40, 2.0.39, 2.0.37, 2.0.36, 2.0.35, 1.3.28, 1.3.27, 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0

已在 Apache HTTP Server 1.3.28 中修復

重要RotateLogs DoS 攻擊(CVE-2003-0460)

如果 Win32 和 OS/2 上的 rotatelogs 支援程式收到特殊的控制字元（例如 0x1A），則會停止記錄並退出。

已回報給安全團隊2003-07-04
問題公開2003-07-18
已釋出更新 1.3.282003-07-18
影響1.3.27, 1.3.26?, 1.3.24?, 1.3.22?, 1.3.20?, 1.3.19?, 1.3.17?, 1.3.14?, 1.3.12?, 1.3.11?, 1.3.9?, 1.3.6?, 1.3.4?, 1.3.3?, 1.3.2?, 1.3.1?, 1.3.0?

已在 Apache HTTP Server 1.3.27 中修復

重要共用記憶體權限導致本地權限提升(CVE-2002-0839)

用於記分板的共用記憶體權限允許可以在 Apache UID 下執行的攻擊者以 root 身分向任何程序發送訊號，或導致本地服務阻斷攻擊。

已回報給安全團隊2001-11-11
問題公開2002-10-03
已釋出更新 1.3.272002-10-03
影響1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0

低使用萬用字元 DNS 的錯誤頁面 XSS 攻擊(CVE-2002-0840)

當 UseCanonicalName 為「關閉」且存在萬用字元 DNS 支援時，2.0.43 之前的 Apache 2.0 和 1.3.26 之前的 1.3.x 中預設錯誤頁面的跨網站指令碼 (XSS) 漏洞允許遠端攻擊者透過 Host: 標頭以其他網頁訪客的身分執行指令碼。

已回報給安全團隊2002-09-20
問題公開2002-10-02
已釋出更新 2.0.432002-10-03
已釋出更新 1.3.272002-10-03
影響2.0.42, 2.0.40, 2.0.39, 2.0.37, 2.0.36, 2.0.35, 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0

重要ab 公用程式中的緩衝區溢位(CVE-2002-0843)

如果針對惡意伺服器執行 ab，則基準測試公用程式 ab 中的緩衝區溢位可能會被利用

已回報給安全團隊2002-09-23
問題公開2002-10-03
已釋出更新 1.3.272002-10-03
影響1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0

已在 Apache HTTP Server 1.3.26 中修復

嚴重Apache 分塊編碼漏洞(CVE-2002-0392)

惡意請求可能會導致各種影響，從相對無害的系統資源增加到服務阻斷攻擊，在某些情況下，還可以執行任意的遠端程式碼。

已回報給安全團隊2002-05-27
問題公開2002-06-17
已釋出更新 2.0.372002-06-18
已釋出更新 1.3.262002-06-18
影響2.0.36, 2.0.35, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0

低已過濾的跳脫序列(CVE-2003-0083)

Apache 未從其存取日誌中過濾終端機跳脫序列，這可能會讓攻擊者更容易將這些序列插入包含與跳脫序列相關漏洞的終端機模擬器中。

已回報給安全團隊2003-02-24
問題公開2003-02-24
已釋出更新 2.0.462004-04-02
已釋出更新 1.3.262002-06-18
影響2.0.45, 2.0.44, 2.0.43, 2.0.42, 2.0.40, 2.0.39, 2.0.37, 2.0.36, 2.0.35, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0

已在 Apache HTTP Server 1.3.24 中修復

嚴重Win32 Apache 遠端命令執行(CVE-2002-0061)

1.3.24 之前的 Apache for Win32 和 2.0.34-beta 允許遠端攻擊者透過傳遞給批次檔 CGI 指令碼的參數來執行任意命令。

已回報給安全團隊2002-02-13
已釋出更新 1.3.242002-03-22
影響1.3.22, 1.3.20?, 1.3.19?, 1.3.17?, 1.3.14?, 1.3.12?, 1.3.11?, 1.3.9?, 1.3.6?, 1.3.4?, 1.3.3?, 1.3.2?, 1.3.1?, 1.3.0?

已在 Apache HTTP Server 1.3.22 中修復

重要請求可能會導致顯示目錄列表(CVE-2001-0729)

在 Win32 埠的 Apache 1.3.20 中發現一個漏洞。提交非常長的 URI 的用戶端可能會導致傳回目錄列表，而不是預設索引頁面。

已回報給安全團隊2001-09-18
問題公開2001-09-28
已釋出更新 1.3.222001-10-12
影響1.3.20

中等split-logfile 可能會導致寫入任意的日誌檔(CVE-2001-0730)

在分割日誌檔支援程式中發現了一個漏洞。具有特製 Host: 標頭的請求可能會導致系統上任何副檔名為 .log 的檔案被寫入。

問題公開2001-09-28
已釋出更新 1.3.222001-10-12
影響1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0

重要多重檢視可能會導致顯示目錄列表(CVE-2001-0731)

當使用多重檢視協商目錄索引時，發現了一個漏洞。在某些配置中，請求 QUERY_STRING 為 M=D 的 URI可能會返回目錄列表，而不是預期的索引頁面。

問題公開2001-07-09
已釋出更新 1.3.222001-10-12
影響1.3.20, 1.3.19?, 1.3.17?, 1.3.14?, 1.3.12?, 1.3.11?, 1.3.9?, 1.3.6?, 1.3.4?, 1.3.3?, 1.3.2?, 1.3.1?, 1.3.0?

已於 Apache HTTP Server 1.3.20 中修復

重要針對 Win32 和 OS2 的阻斷服務攻擊(CVE-2001-1342)

在 Apache 1.3 的 Win32 和 OS2 版本中發現了一個漏洞。提交精心構造的 URI 的用戶端可能會導致子進程中出現一般性保護錯誤，彈出一個消息框，操作員必須清除該消息框才能繼續操作。此漏洞沒有引入除可能導致阻斷服務之外的任何已知危害伺服器的方法。

已發布更新 1.3.202001-05-22
影響1.3.20, 1.3.19?, 1.3.17?, 1.3.14?, 1.3.12?, 1.3.11?, 1.3.9?, 1.3.6?, 1.3.4?, 1.3.3?, 1.3.2?, 1.3.1?, 1.3.0?

已於 Apache HTTP Server 1.3.19 中修復

重要請求可能會導致顯示目錄列表(CVE-2001-0925)

如果使用多個斜線人為地創建了一個非常長的路徑，則默認安裝可能會導致 mod_negotiation 和 mod_dir 或 mod_autoindex 顯示目錄列表，而不是多重檢視 index.html 檔案。

已發布更新 1.3.192001-02-28
影響1.3.17, 1.3.14, 1.3.12, 1.3.11

已於 Apache HTTP Server 1.3.14 中修復

中等請求可能會導致在 NT 上顯示目錄列表(CVE-2000-0505)

Windows 版 Apache 上的一個安全漏洞允許用戶通過發送精心構造的請求來查看目錄列表，而不是默認的 HTML 頁面。

已發布更新 1.3.142000-10-13
影響1.3.12, 1.3.11?, 1.3.9?, 1.3.6?, 1.3.4?, 1.3.3?, 1.3.2?, 1.3.1?, 1.3.0?

重要包含引用的重寫規則允許訪問任何檔案(CVE-2000-0913)

重寫模組 mod_rewrite 可能允許訪問 Web 伺服器上的任何檔案。該漏洞僅在 RewriteRule 指令中使用正則表達式引用的某些特定情況下才會發生：如果 RewriteRule 的目標包含正則表達式引用，則攻擊者將能夠訪問伺服器上的任何檔案。

問題公開2000-09-29
已發布更新 1.3.142000-10-13
影響1.3.12, 1.3.11?, 1.3.9?, 1.3.6?, 1.3.4?, 1.3.3?, 1.3.2?, 1.3.1?, 1.3.0?

重要大量虛擬主機可能會顯示 CGI 原始碼(CVE-2000-1204)

大量虛擬主機模組 mod_vhost_alias 的用戶存在一個安全問題，如果 cgi-bin 目錄位於文檔根目錄下，則會導致發送 CGI 的原始碼。但是，將 cgi-bin 目錄放在文檔根目錄下是不正常的。

已發布更新 1.3.142000-10-13
影響1.3.12, 1.3.11, 1.3.9

已於 Apache HTTP Server 1.3.12 中修復

重要跨站腳本攻擊可能會洩露私人會話資訊(CVE-2000-1205)

Apache 容易受到跨站腳本攻擊的攻擊。事實證明，如果伺服器或處理請求的腳本沒有仔細地對顯示給用戶的所有資訊進行編碼，則惡意 HTML 標籤可能會嵌入到用戶端 Web 請求中。利用這些漏洞，攻擊者可以例如獲取用於對您進行身份驗證以訪問其他網站的私人 Cookie 的副本。

已發布更新 1.3.122000-02-25
影響1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0

已於 Apache HTTP Server 1.3.11 中修復

中等大量虛擬主機安全問題(CVE-2000-1206)

對於使用基於大量名稱的虛擬主機（使用新的 mod_vhost_alias 模組）或使用特殊 mod_rewrite 規則的網站，可能會出現安全問題。

已發布更新 1.3.112000-01-21
影響1.3.9, 1.3.6?, 1.3.4?, 1.3.3?, 1.3.2?, 1.3.1?, 1.3.0?

已於 Apache HTTP Server 1.3.2 中修復

重要多重標頭阻斷服務漏洞(CVE-1999-1199)

當用戶端發送大量具有相同標頭名稱的標頭時，會出現一個嚴重的問題。Apache 使用內存的速度比僅僅存儲接收到的數據本身所需的內存量還要快。也就是說，隨著接收到的標頭越多，內存使用量會越來越快地增加，而不是以恆定的速率增加。這使得基於此方法的阻斷服務攻擊比導致 Apache 以恆定速率使用內存的方法更有效，因為攻擊者只需發送更少的數據。

已發布更新 1.3.21998-09-23
影響1.3.1, 1.3.0