FreeBSD：mod_pagespeed -- 複数の脆弱性（178ba4ea-fd40-11e1-b2ae-001fd0af1a4c）

medium Nessus プラグイン ID 62068

Language:

概要

リモート FreeBSD ホストには、セキュリティ関連の更新がありません。

説明

Google による報告：

mod_pagespeed 0.10.22.6 は、以前のバージョンに影響を与える 2 つの重要度最高の問題を修正するセキュリティ更新です：

- CVE-2012-4001、独自のホスト名の検証での問題。

- CVE-2012-4360、0.10.19.1 から始まるバージョンに影響を与えるクロスサイトスクリプティング攻撃。

最初の問題の影響は、独自のホスト名について mod_pagespeed を混乱させる可能性があり、騙されて、他のマシンからリソースをフェッチする可能性があることです。HTTP サーバーが、他の方法では公開表示されないマシンにアクセスできる場合、これが問題になる可能性があります。

もうひとつの問題は、これにより、敵対的なサードパーティが、mod_pagespeed を実行しているドメインのコンテキストで、ユーザーのブラウザで JavaScript を実行することが可能になるため、そのサイト上のユーザーのクッキーまたはデータの傍受を容認する可能性があることです。

これらの 2 つの問題の重要度から、ユーザーはただちに更新することが強く推奨されます。

更新での動作変更：

最初の問題に対する修正の一部として、構成で明示的に記載されていない限り、mod_pagespeed はローカルホスト以外のマシンからはリソースをフェッチしません。これは、他のシステムによって処理されるサーバーのドメインからのリソースが必要である場合、それを認証するために ModPagespeedMapOriginDomain または ModPagespeedDomain を明示的に使用する必要があることを意味します。