このapache2の更新では、次の問題が修正されます：

CVE-2019-0211：Apache HTTPサーバーの欠陥により、特権の低い子プロセスまたはスレッドが親プロセスの特権で任意のコードを実行する可能性があります。サーバーが実行するCGIスクリプトや拡張モジュールを制御できる攻撃者がこの問題を悪用し、スーパーユーザーの権限を取得する可能性があります。（bsc#1131233）

CVE-2019-0220：Apache HTTPサーバーは、そのすべてのコンポーネントに対するURLの正規化の戦略に一貫性がありませんでした。特に、連続したスラッシュは常に折りたたまれるわけではありませんでした。攻撃者はこれらの矛盾を悪用してアクセス制御メカニズムをバイパスし、サービスの保護された部分への不正アクセスを取得する可能性があります。（bsc#1131241）

CVE-2019-0217：スレッド化されたサーバーで実行しているときにApacheの「mod_auth_digest」が競合状態であるため、有効な認証情報を持つユーザーは、設定されたアクセス制御の制限をバイパスして別のユーザー名を使用して認証される可能性があります。（bsc#1131239）

CVE-2019-0197：ApacheサーバーでhttpホストのHTTP/2サポートが有効になっているとき、またはhttpsホストのh2でH2Upgradeが有効になっているとき、接続時の初回リクエストではないhttp/1.1からhttp/2へのアップグレードリクエストが、誤設定とクラッシュを引き起こす可能性があります。
この問題はサービス拒否攻撃を仕掛けるために悪用された可能性があります。
h2プロトコルを有効にしたことがないサーバー、またはhttps: のみ有効でH2Upgradeをオンに設定していないサーバーは影響を受けません。
[bsc#1131245]

CVE-2019-0196：Apacheのhttp/2リクエストハンドラーは、リクエストのメソッドを決定するときに、特別に細工されたネットワーク入力を通して過去に解放されたメモリにアクセスする可能性があります。これによりリクエストが誤って分類され、不適切な処理が行われました。
[bsc#1131237]

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

検出

SUSE SLED15 / SLES15セキュリティ更新プログラム：apache2 (SUSE-SU-2019:0873-1)

high Nessus プラグイン ID 123782

バージョン 1.10