Apache HTTPサーバーに、複数の脆弱性が見つかりました。- CVE-2018-17189：F5 NetworksのGal Goldshtein氏は、mod_http2におけるサービス拒否の脆弱性を発見しました。不正な形式のリクエストを送信すると、そのリクエストのhttp/2ストリームは受信データをクリーンアップするサーバースレッドを不必要に占有し、サービス拒否を引き起こす可能性があります。- CVE-2018-17199：ImExHSのDiego Angulo氏は、mod_session_cookieが有効期限を考慮しないことを発見しました。- CVE-2019-0196：Craig Young氏は、mod_http2のhttp/2リクエスト処理はリクエストのメソッドを決定するときに文字列比較で解放されたメモリにアクセスできるため、リクエストを誤って処理する可能性があることを発見しました。- CVE-2019-0211：Charles Fol氏は、権限の低い子プロセスからルートとして実行している親プロセスへの権限昇格を発見しました。- CVE-2019-0217：スレッド化されたサーバーで実行しているときにmod_auth_digestが競合状態であるため、有効な認証情報を持つユーザーは、設定されたアクセス制御の制限をバイパスして別のユーザー名を使用して認証される可能性があります。この問題はSimon Kappel氏によって発見されました。- CVE-2019-0220：Alpha Strike Labs GmbHのBernhard Lorenz氏は、URLの正規化の処理に一貫性がないと報告しました。リクエストURLのパスコンポーネントに複数の連続したスラッシュ（「/」）が含まれているときに、LocationMatchやRewriteRuleなどのディレクティブは正規表現における重複を考慮する必要がありますが、その他のサーバー処理では暗黙的に折りたたまれます。

検出

Debian DSA-4422-1：apache2 - セキュリティ更新プログラム

high Nessus プラグイン ID 123691

バージョン 1.8