Debian DSA-2506-1：libapache-mod-security - ModSecurity バイパス

medium Nessus プラグイン ID 59825

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Qualys Vulnerability & Malware Research Labs は、Apache Web サーバーのためのセキュリティモジュールである ModSecurity に脆弱性を発見しました。HTTP ヘッダーに「Content:Disposition: attachment」および「Content-Type: multipart」が両方存在している場合、脆弱性により、攻撃者はポリシーをバイパスし、適切に細工された HTML ドキュメントを通じてクロスサイトスクリプティング（XSS）攻撃を行う可能性があります。

ソリューション

libapache-mod-security パッケージをアップグレードしてください。

安定版（stable）ディストリビューション（squeeze）では、この問題はバージョン 2.5.12-1+squeeze1 で修正されています。

テストおよび不安定版（unstable）ディストリビューションにおいて、ソースパッケージは modsecurity-apache に名前が変更されました。