Debian DSA-1934-1:apache2 - 複数の問題

high Nessus プラグイン ID 44799

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

TLS および SSL プロトコルにデザイン上の欠陥が見つかりました。これにより、攻撃者が任意のコンテンツを TLS/SSL 接続の開始時に注入する可能性があります。この攻撃は、TLS および SSL がセッション再ネゴシエーションを処理する方法に関係します。CVE-2009-3555 がこの脆弱性に割り当てられています。

この攻撃に対する部分的な緩和策として、この apache2 更新により、クライアント主導の再ネゴシエーションが無効にされます。これにより、使用中の大多数の Apache 構成の脆弱性が修正されるはずです。

注:これは、問題の完全な修正ではありません。サーバーが再ネゴシエーションを主導する構成では、依然として攻撃が可能です。これは、以下の構成の場合に起こります(更新済みパッケージの変更ログの情報が少し不正確な場合):

- ディレクトリまたはロケーションのコンテキストで「SSLVerifyClient」ディレクティブが使用されている場合。
- ディレクトリまたはロケーションのコンテキストで「SSLCipherSuite」ディレクティブが使用されている場合。

回避策として、SSLVerifyClient および SSLCipherSuite だけがサーバーまたは仮想ホストレベルで使用されるように、構成を再調整してください。


この問題の完全な修正には、プロトコル変更が必要です。詳細情報は、この問題に関する個別の告知に含まれています。

さらに、この更新で、Apache の mod_proxy_ftp の以下の問題が修正されます:

- CVE-2009-3094 mod_proxy_ftp モジュールの入力検証が不適切なため、リモート FTP サーバーが EPSV コマンドへの無効な形式の返信を介して、サービス拒否(NULL ポインターデリファレンスおよび子プロセスのクラッシュ)を引き起こす可能性があります。

- CVE-2009-3095 mod_proxy_ftp モジュールの入力検証が不十分なため、リモートの認証された攻撃者が、意図されたアクセス制限をバイパスし、任意の FTP コマンドを FTP サーバーに送信する可能性があります。

ソリューション

apache2 パッケージと apache2-mpm-itk パッケージをアップグレードしてください。

旧安定版(oldstable)ディストリビューション(etch)では、これらの問題はバージョン 2.2.3-4+etch11 で修正されています。

安定版(stable)ディストリビューション(lenny)では、これらの問題はバージョン 2.2.9-10+lenny6 で修正されています。このバージョンには、次回の安定版(stable)ポイントリリース(Debian 5.0.4)に含まれる予定だった、いくつかの非セキュリティバグ修正も含まれています。

このアドバイザリは、新しい apache2 パッケージに対して再コンパイルされている更新された apache2-mpm-itk パッケージを提供しています。

armel アーキテクチャ用の更新済み apache2-mpm-itk パッケージはまだ含まれていません。これらは使用可能になるとすぐにリリースされます。

参考資料

https://security-tracker.debian.org/tracker/CVE-2009-3555

https://security-tracker.debian.org/tracker/CVE-2009-3094

https://security-tracker.debian.org/tracker/CVE-2009-3095

https://www.debian.org/security/2009/dsa-1934

プラグインの詳細

深刻度: High

ID: 44799

ファイル名: debian_DSA-1934.nasl

バージョン: 1.19

タイプ: local

エージェント: unix

公開日: 2010/2/24

更新日: 2021/1/4

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 6.7

CVSS v2

リスクファクター: High

Base Score: 7.5

Temporal Score: 5.9

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

脆弱性情報

CPE: p-cpe:/a:debian:debian_linux:apache2, cpe:/o:debian:debian_linux:4.0, cpe:/o:debian:debian_linux:5.0

必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2009/11/16

参照情報

CVE: CVE-2009-3094, CVE-2009-3095, CVE-2009-3555

BID: 36254, 36260, 36935

CWE: 119, 264, 310

DSA: 1934