リモートの Debian 11 および 12 ホストには、dsa-5662 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Apache HTTP Server の mod_macro にある領域外読み取りの脆弱性。この問題は、次の Apache HTTP Server に影響します。
    2.4.57 までの Apache Traffic Server に影響します。(CVE-2023-31122)

  - Apache のコアにおける入力検証に欠陥があるため、悪意のある、または悪用可能なバックエンド/コンテンツジェネレーターが HTTP 応答を分割する可能性があります。この問題は、2.4.58 以前の Apache HTTP Server に影響を与えます。(CVE-2023-38709)

  - 攻撃者が HTTP/2 接続を初期ウィンドウサイズ 0 で開くことで、Apache HTTP Server でその接続の処理を無期限にブロックできました。これは、よく知られた Slowloris 攻撃パターンと同様に、サーバーのワーカーリソースを使い果たすために使用される可能性があります。これはバージョン 2.4.58 で修正されたため、このような接続は、設定された接続タイムアウト後に適切に終了するようになりました。この問題は Apache HTTP Server 2.4.55 ～ 2.4.57 に影響します。ユーザーには、この問題を修正したバージョンであるバージョン 2.4.58 へのアップグレードをお勧めします。(CVE-2023-43622)

  - HTTP/2 ストリームがクライアントによってリセットされたとき (RST フレーム)、リクエストのメモリリソースがすぐに回収されないタイムウィンドウがありました。代わりに、割り当て解除が接続の終了まで延期されました。クライアントが新しいリクエストとリセットを送信して、接続をビジーかつオープンな状態に保ち、メモリフットプリントを増大させ続ける可能性があります。接続を閉じると、すべてのリソースが回収されますが、その前にプロセスがメモリを使い果たす可能性があります。これは、報告者が自身のテストクライアントを使用して CVE-2023-44487 (HTTP/2 Rapid Reset Exploit) をテストしているときに発見されました。通常の HTTP/2 の使用では、このバグが発生する可能性は非常に低いです。保持されたメモリは、接続が閉じるかタイムアウトするまで目立たなくなります。ユーザーには、この問題を修正したバージョンであるバージョン 2.4.58 へのアップグレードをお勧めします。(CVE-2023-45802)

  - Apache HTTP Server の複数のモジュールでの HTTP 応答の分割により、攻撃者が悪意のある応答ヘッダーをバックエンドアプリケーションに注入して、HTTP 非同期攻撃を引き起こす可能性があります。ユーザーには、この問題を修正したバージョン 2.4.59 へのアップグレードをお勧めします。(CVE-2024-24795)

  - 制限を超える HTTP/2 受信ヘッダーは、情報を提供する HTTP 413 応答を生成するために、nghttp2 で一時的にバッファリングされます。クライアントがヘッダーの送信を停止しない場合、メモリ枯渇につながります。
    (CVE-2024-27316)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian dsa-5662 : apache2 - セキュリティ更新プログラム

high Nessus プラグイン ID 193369

バージョン 1.1