Hiawatha Web服务器CVE-2025-57783等严重漏洞

Hiawatha是一款基于Linux/UNIX平台安全型Web服务器软件，设计以安全性和轻量化为核心目标，采用模块化架构，主打性能与简洁性。

一、基本情况

Hiawatha是一款以安全为核心的开源Web服务器，支持Windows、macOS和Linux系统，并且也能够支持SSL/RPROXY/TOOLKIT等模块。

Hiawatha安全、易用和轻量，支持（Fast）CGI、IPv6、URL重写、反向代理，具备拦截SQL注入、XSS、CSRF及漏洞利用尝试等机制。

栋科技漏洞库关注到Hiawatha Web服务器存在三个严重安全缺陷，分别追踪为CVE-2025-57783、CVE-2025-57784、CVE-2025-57785。

二、漏洞分析

1、CVE-2025-57783

CVE-2025-57783漏洞是Hiawatha Web服务器中存在的请求走私漏洞，该漏洞允许未认证攻击者走私请求，访问服务器管理的受限资源。

该漏洞源于8.5至11.7版本中fetch_request函数的头部解析不当。

攻击者利用该漏洞可绕过认证控制、劫持用户会话，或向构造的请求中注入恶意载荷。由于无需认证，暴露在公网的服务器面临严重风险。

2、CVE-2025-57784

CVE-2025-57784是Hiawatha Web中的Tomahawk管理组件漏洞，影响Hiawatha的Tomahawk管理组件，允许本地攻击者访问管理客户端。

该漏洞源于handle_admin函数中不安全使用strcmp函数导致，允许本地攻击者访问管理客户端，本地攻击者利用该漏洞猜解管理员密码。

攻击者通过精确测量登录失败尝试的响应时间，逐个推断密码字符，获取管理员权限。尽管此类攻击耗时较长，但自动化工具可高效实施。

3、CVE-2025-57785

CVE-2025-57785漏洞是Hiawatha Web服务器中的XSLT模块双重释放漏洞，该漏洞影响10.8.2至11.7版本，而且可被触发远程代码执行。

具体而言，该漏洞是XSLT show_index函数中的双重释放问题……可能导致数据损坏，进而执行任意代码

双重释放错误指同一块内存被释放两次，引发内存 corruption。在Web服务器场景中，攻击者执行任意代码，潜在完全控制受影响服务器。

三、影响范围

未知

四、修复建议

尽管该项目已不再积极维护，开发者仍确认了所报告的漏洞，并表示修复补丁和缓解措施将包含在下次更新中。

五、参考链接

管理员已设置登录后刷新可查看