Ubuntu 6.06 LTS / 8.04 LTS / 9.04 / 9.10 / 10.04 LTS：apache2 の脆弱性（USN-990-2）
medium Nessus プラグイン ID 49644
Language:
概要
リモート Ubuntu ホストに 1 つ以上のセキュリティ関連パッチがありません。説明
USN-860-1 は、Apache に対する部分的な回避策を導入しました。これにより、クライアントが開始した TLS 再ネゴシエーションを無効にし、CVE-2009-3555 を緩和することができます。USN-990-1 は、新しい RFC5746 再ネゴシエーションの拡張を openssl で導入し、この問題を完全に解決します。
openssl の更新後に、Apache サーバーには、パッチが適用されている Web サーバーとパッチが適用されていない Web サーバーの両方が接続できるようになりますが、パッチが適用されていないブラウザは再ネゴシエーションできません。この更新により、Apache の新しい SSLInsecureRenegotiation ディレクティブが導入されます。これは、安全でない再ネゴシエーションをパッチが適用されていない Web ブラウザで再有効化するために利用される可能性があります。詳細については、次を参照してください。
http://httpd.apache.org/docs/2.2/mod/mod_ssl.html#sslinsecurerenegotiation
Marsh Ray 氏と Steve Dispensa 氏は TLS および SSLv3 プロトコルに欠陥を発見しました。TLS 接続の開始時に、攻撃者が中間者攻撃を実行できる場合、その攻撃者はユーザーのセッションの最初に任意のコンテンツを注入することができます。この更新では、新しい RFC5746 の再ネゴシエーション拡張に対するバックポートされたサポートが追加され、これは、クライアントとサーバーの両方によってサポートされる場合に使われます。
ソリューション
影響を受けるパッケージを更新してください。参考資料
プラグインの詳細
深刻度: Medium
ID: 49644
ファイル名: ubuntu_USN-990-2.nasl
バージョン: 1.16
タイプ: local
エージェント: unix
ファミリー: Ubuntu Local Security Checks
公開日: 2010/9/22
更新日: 2019/9/19
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: Medium
基本値: 5.8
現状値: 4.5
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:P
脆弱性情報
CPE: p-cpe:/a:canonical:ubuntu_linux:apache2, p-cpe:/a:canonical:ubuntu_linux:apache2-common, p-cpe:/a:canonical:ubuntu_linux:apache2-doc, p-cpe:/a:canonical:ubuntu_linux:apache2-mpm-event, p-cpe:/a:canonical:ubuntu_linux:apache2-mpm-itk, p-cpe:/a:canonical:ubuntu_linux:apache2-mpm-perchild, p-cpe:/a:canonical:ubuntu_linux:apache2-suexec, p-cpe:/a:canonical:ubuntu_linux:apache2-suexec-custom, p-cpe:/a:canonical:ubuntu_linux:apache2-threaded-dev, p-cpe:/a:canonical:ubuntu_linux:apache2-utils, p-cpe:/a:canonical:ubuntu_linux:apache2.2-bin, p-cpe:/a:canonical:ubuntu_linux:apache2.2-common, p-cpe:/a:canonical:ubuntu_linux:libapr0, p-cpe:/a:canonical:ubuntu_linux:libapr0-dev, cpe:/o:canonical:ubuntu_linux:10.04:-:lts, cpe:/o:canonical:ubuntu_linux:6.06:-:lts, cpe:/o:canonical:ubuntu_linux:8.04:-:lts, cpe:/o:canonical:ubuntu_linux:9.04, cpe:/o:canonical:ubuntu_linux:9.10, p-cpe:/a:canonical:ubuntu_linux:apache2-mpm-prefork, p-cpe:/a:canonical:ubuntu_linux:apache2-mpm-worker, p-cpe:/a:canonical:ubuntu_linux:apache2-prefork-dev, p-cpe:/a:canonical:ubuntu_linux:apache2-src
必要な KB アイテム: Host/cpu, Host/Debian/dpkg-l, Host/Ubuntu, Host/Ubuntu/release
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2010/9/21
脆弱性公開日: 2009/11/9
参照情報
CVE: CVE-2009-3555
BID: 36935