1 つのセキュリティの問題を修正する更新済みの apr パッケージが、 Red Hat Enterprise Linux 4、5、6 で現在利用可能です。

Red Hatセキュリティレスポンスチームは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCommon Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションのCVEリンクで確認できます。

Apache Portable Runtime（APR）は、Apache HTTP Serverおよびその他のプロジェクトで使用されるポータビリティライブラリです。これにより、Cデータ構造およびルーチンの無料のライブラリが提供されます。

「*」ワイルドカード付きのパターンを処理するとき、apr_fnmatch() 関数で、拘束されない再帰が使用されることが、見つかりました。攻撃者がこの欠陥を利用して、信頼されない入力もマッチングのパターンとして受け入れるこの関数を使用するアプリケーション（mod_autoindexモジュールを使用するhttpdサーバーなど）で、マッチング実行時にすべてのスタックメモリを消耗することや、過大な量の CPU 時間を使用する可能性があります。（CVE-2011-0419）

Red Hat は、この問題を報告していただいた Maksymilian Arciemowicz に感謝の意を表します。

apr のすべてのユーザーは、これらの更新済みパッケージにアップグレードする必要があります。これには、この問題を修正する、バックポートされたパッチが含まれています。httpd などの apr ライブラリを使用するアプリケーションは、この更新を有効にするために再起動する必要があります。

検出

CentOS 4 / 5：apr（CESA-2011: 0507）

medium Nessus プラグイン ID 53872

変更ログが見つかりません