Debian DSA-2579-1：apache2 - 複数の問題

medium Nessus プラグイン ID 63114

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Apache HTTPD Server に脆弱性が見つかりました：

- CVE-2012-4557 mod_proxy_ajp が、応答が遅すぎるバックエンドサーバーに接続される際に、欠陥が見つかりました。特定の構成で、リモートの攻撃者が、特定のリクエストを送信し、バックエンドサーバーを再試行タイムアウトの期限が切れるまでエラー状態に陥らせる可能性があります。これにより、一時的なサービス拒否が引き起こされる可能性があります。

さらに、この更新は、次の問題に対して、サーバー側に緩和策を追加します：

- CVE-2012-4929 Web ブラウザに対する接続の際に HTTPS で SSL/TLS データ圧縮を使用する場合、中間者の攻撃者が平文 HTTP ヘッダーを取得する可能性があります。この問題は「CRIME」という攻撃として知られています。apache2 のこの更新は、デフォルトで SSL 圧縮を無効にします。新しい SSL圧縮ディレクティブがバックポートされました。これが、「CRIME」攻撃が問題となっていない環境で、SSL データ圧縮が再度有効化される際に利用される可能性があります。詳細については、SSL 圧縮ディレクティブのドキュメントを参照してください。