リモートのMiracleLinux 7ホストには、AXSA:2019-3739:01アドバイザリに記載されているとおり、複数の脆弱性の影響を受けるパッケージがインストールされています。

    * httpd: mod_session でヘッダーが不適切に処理されるため、リモートのユーザーが CGI アプリケーションのセッションデータを変更する可能性があります (CVE-2018-1283)
    * httpd: mod_cache_socache での領域外読み取りによってリモートの攻撃者が DoS を引き起こす可能性があります (CVE-2018-1303)
    * httpd: mod_http2: ワーカーに割り当てられた時間が過多のため DoS が生じる可能性があります (CVE-2018-1333)
    * httpd: 継続的 SETTINGS フレームによる HTTP/2 接続の DoS (CVE-2018-11763)
    * httpd: 小さすぎる Accept-Language 値の使用時の mod_authnz_ldap における領域外書き込み (CVE-2017-15710)
    * httpdファイル名に末尾の改行が付いているときにバイパスしますCVE-2017-15715
    * httpd: HTTP リクエストの読み取り失敗後の領域外アクセス (CVE-2018-1301)
    * httpd: mod_auth_digest での Weak Digest 認証ノンス (CVE-2018-1312)
    * curl: httpd24-curl で複数のセキュリティの問題が修正されました (CVE-2016-5419、CVE-2016-5420、CVE-2016-5421、CVE-2016-7141、CVE-2016-7167、CVE-2016-8615、CVE-2016-8616、CVE-2016-8617、CVE-2016-8618、CVE-2016-8619、CVE-2016-8620、CVE-2016-8621、CVE-2016-8622、CVE-2016-8623、CVE-2016-8624、CVE-2016-8625、CVE-2016-9586、CVE-2017-1000100、CVE-2017-1000101、CVE-2017-1000254、CVE-2017-1000257、CVE-2017-7407、CVE-2017-8816、CVE-2017-8817、CVE-2018-1000007、CVE-2018-1000120、CVE-2018-1000121、CVE-2018-1000122、CVE-2018-1000301、CVE-2018-14618)

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

MiracleLinux 7httpd24-nghttp2-1.7.1-7.el7、httpd24-curl-7.61.1-1.el7、httpd24-httpd-2.4.34-7.el7AXSA:2019-3739:01

critical Nessus プラグイン ID 289086

バージョン 1.1