MiracleLinux 4httpd-2.2.15-45.0.1.AXS4AXSA:2015-347:01
high Nessus プラグイン ID 288961
Language:
概要
リモートのMiracleLinuxホストにセキュリティ更新プログラムがありません。説明
リモートの MiracleLinux 4 ホストには、AXSA:2015-347:01 アドバイザリで言及されている脆弱性の影響を受けるパッケージがインストールされています。Apache HTTP サーバーは、強力かつ効率的で拡張性のある Web サーバーです。
このリリースで修正されたセキュリティ問題
CVE-2013-5704 Apache HTTP Server の mod_headers モジュール 2.2.22 により、リモートの攻撃者が、チャンク転送コーディングで送信されるデータのトレーラー部分にヘッダーを配置することで、RequestHeader unset ディレクティブをバイパスできます。注：ベンダーによれば、これ自体は httpd のセキュリティ問題ではありません。
修正されたバグ：
* httpd 構成がリロードされたとき、mod_proxy ワーカーの順序がチェックされませんでした。mod_proxy ワーカーが削除、追加またはその順序が変更されたとき、そのパラメーターとスコアが混合する可能性があります。この更新により、mod_proxy ワーカーの順序が、構成のリロード中に内部的に一貫されました。
* 高速ブート中に作成されたローカルホスト証明書に、httpd サービスが警告メッセージを返す原因となる CA 拡張がありました。この更新により、バグ he は修正されました。
* デフォルトの mod_ssl 構成では、単一の DES、IDEA または SEED 暗号化アルゴリズムを使用している SSL 暗号化パッケージはサポートされなくなりました。
* apachectl スクリプトが、緩やかな再起動中に、/etc/sysconfig/httpd ファイルで設定された HTTPD_LANG 変数を考慮していませんでした。結果として、デーモンが緩やかに再起動される際に、 httpd が HTTPD_LANG の変更された値を使用していませんでした。
このバグを修正するために、 スクリプトは HTTPD_LANG 変数を正しく処理するように修正されています。
* mod_deflate モジュールが、4 GB を超えるファイルの抽出中に、元のファイルサイズのチェックで失敗し、大きなファイルを抽出できません。この更新により、この問題が修正されました。
* httpd サービスが、再起動の前に構成をチェックしていませんでした。そのため、構成にエラーがあると、httpd を緩やかに再起動しようとする試みが失敗していました。
この更新により、この問題が修正されました。
* SSLVerifyClient optional_no_ca および SSLSessionCache オプションが使用されていると、SSL_CLIENT_VERIFY 環境変数が間違って処理されていました。SSL セッションが再開されるとき、SSL_CLIENT_VERIFY の値が、以前に設定されていた GENEROUS ではなく、SUCCESS に設定されました。現在は、このシナリオで、SSL_CLIENT_VERIFY が正しく GENEROUS に設定されます。
* 一部のデータが既に読み取られた後に SSL 接続が閉じられると、ab ユーティリティが状況を正しく処理していませんでした。その結果、ab は SSL サーバーで正しく動作せず、SSL 読み取り失敗エラーメッセージを出力しました。この更新により、説明されているバグが修正されました。
* クライアントが失効した証明書を提示すると、ログのエントリはデバッグレベルでのみ作成されました。失効した証明書に関するメッセージのログのレベルが INFO に上がり、現在は、この状況を管理者に適切に通知できるようになりました。
強化：
* mod_proxy ワーカーは、現在、balancer-manager Web インターフェースまたは httpd 構成ファイルを使用して、ドレインモード（N）に設定できます。ドレインモードのワーカーは、自身を宛先とする既存のスティッキーセッションだけを受け入れ、他のリクエストは無視します。ワーカーは、現在このワーカーに接続されているクライアントが作業を完了するのを待ってから、停止します。結果として、ドレインモードでは、クライアントに影響を与えることなく、ワーカーのメンテナンスを行うことができます。
Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるパッケージを更新してください。参考資料
プラグインの詳細
深刻度: High
ID: 288961
ファイル名: miracle_linux_AXSA-2015-347.nasl
バージョン: 1.1
タイプ: local
公開日: 2026/1/16
更新日: 2026/1/16
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.4
Vendor
Vendor Severity: Low
CVSS v2
リスクファクター: Medium
基本値: 5
現状値: 3.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
CVSS スコアのソース: CVE-2013-5704
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:miracle:linux:mod_ssl, p-cpe:/a:miracle:linux:httpd, p-cpe:/a:miracle:linux:httpd-tools, cpe:/o:miracle:linux:4, p-cpe:/a:miracle:linux:httpd-devel, p-cpe:/a:miracle:linux:httpd-manual
必要な KB アイテム: Host/local_checks_enabled, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list, Host/cpu
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2015/8/12
脆弱性公開日: 2013/10/19
参照情報
CVE: CVE-2013-5704