DebianDSA-3896-1：apache2 - セキュリティ更新

critical Nessus プラグイン ID 101013

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

Apache HTTPD Webサーバーに、複数の脆弱性が見つかりました。

- CVE-2017-3167Emmanuel Dreyfus氏は、認証フェーズ以外でサードパーティモジュールがap_get_basic_auth_pw()を使用すると、認証要件がバイパスされる可能性があることを報告しました。

- CVE-2017-3169AdNovum InformatikAGのVasileiosPanopoulos氏は、サードパーティのモジュールがHTTPSポートへのHTTPリクエスト中にap_hook_process_connection()を呼び出すと、mod_sslがNULLポインタをデリファレンスしてサービス拒否を引き起こす可能性があることを発見しました。

- CVE-2017-7659Robert Swiecki氏は、特別に細工されたHTTP/2リクエストにより、mod_http2がNULLポインターを逆参照し、サーバープロセスをクラッシュさせる可能性があることを報告しました。

- CVE-2017-7668Javier Jimenez氏は、HTTPの厳密な解析に、ap_find_token()のバッファオーバーリードにつながる欠陥が存在することを報告しました。リモート攻撃者が、リクエストヘッダーのシーケンスを巧妙に作りこむことで、この欠陥を利用して、セグメンテーション違反を引き起こしたり、ap_find_token()に正しくない値を返させる可能性があります。

- CVE-2017-7679ChenQin氏とHannoBoeck氏は、悪意のあるContent-Typeの応答ヘッダーを送信するとき、mod_mimeがバッファの末尾を1バイト超えて読み取る可能性があることを報告しました。

ソリューション

apache2パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（jessie）では、これらの問題はバージョン2.4.10-10+deb8u9で修正されています。旧安定版（oldstable）ディストリビューション（jessie）は、CVE-2017-7659の影響を受けません。

安定版（stable）ディストリビューション（stretch）では、これらの問題はバージョン2.4.25-3+deb9u1で修正されています。