TLS および SSL プロトコルにデザイン上の欠陥が見つかりました。これにより、攻撃者が任意のコンテンツを TLS/SSL 接続の開始時に注入する可能性があります。この攻撃は、TLS および SSL がセッション再ネゴシエーションを処理する方法に関係します。CVE-2009-3555 がこの脆弱性に割り当てられています。

この攻撃に対する部分的な緩和策として、この apache2 更新により、クライアント主導の再ネゴシエーションが無効にされます。これにより、使用中の大多数の Apache 構成の脆弱性が修正されるはずです。

注：これは、問題の完全な修正ではありません。サーバーが再ネゴシエーションを主導する構成では、依然として攻撃が可能です。これは、以下の構成の場合に起こります（更新済みパッケージの変更ログの情報が少し不正確な場合）：

- ディレクトリまたはロケーションのコンテキストで「SSLVerifyClient」ディレクティブが使用されている場合。
 - ディレクトリまたはロケーションのコンテキストで「SSLCipherSuite」ディレクティブが使用されている場合。

回避策として、SSLVerifyClient および SSLCipherSuite だけがサーバーまたは仮想ホストレベルで使用されるように、構成を再調整してください。


この問題の完全な修正には、プロトコル変更が必要です。詳細情報は、この問題に関する個別の告知に含まれています。

さらに、この更新で、Apache の mod_proxy_ftp の以下の問題が修正されます：

- CVE-2009-3094 mod_proxy_ftp モジュールの入力検証が不適切なため、リモート FTP サーバーが EPSV コマンドへの無効な形式の返信を介して、サービス拒否（NULL ポインターデリファレンスおよび子プロセスのクラッシュ）を引き起こす可能性があります。

- CVE-2009-3095 mod_proxy_ftp モジュールの入力検証が不十分なため、リモートの認証された攻撃者が、意図されたアクセス制限をバイパスし、任意の FTP コマンドを FTP サーバーに送信する可能性があります。

検出

Debian DSA-1934-1：apache2 - 複数の問題

high Nessus プラグイン ID 44799

変更ログが見つかりません