Apache HTTPD Web サーバーに、複数の脆弱性が見つかりました。

CVE-2017-15710

Alex Nichols氏およびJakob Hirsch氏は、AuthLDAPCharsetConfigで構成された場合、mod_authnz_ldapが細工されたAccept-Languageヘッダーで提供されると、領域外書き込みを引き起こす可能性があることを発見しました。これは、DoS 攻撃（サービス拒否攻撃）に利用される可能性があります。

CVE-2018-1301

Robert Swiecki氏は、特別に細工されたリクエストによって、HTTPヘッダーの読み取りでサイズ制限に達した後に領域外アクセスを発生させ、Apache HTTP Serverをクラッシュさせる可能性があることを報告しました。 CVE-2018-1312

Nicolas Daniels氏は、HTTP Digest認証チャレンジを生成するときに、応答攻撃を防止するためにmod_auth_digestによって送信されるノンスが擬似ランダムシードを使用して正しく生成されないことを報告しました。一般的なダイジェスト認証構成を使用するサーバーのクラスタでは、HTTPリクエストは検出されることなく攻撃者によってサーバー全体で反復される可能性があります。

Debian 7「Wheezy」では、これらの問題はバージョン2.2.22-13+deb7u13で修正されました。

apache2パッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-1389-1: apache2のセキュリティ更新

critical Nessus プラグイン ID 110250

変更ログが見つかりません