RHEL 6:httpd(RHSA-2013:0512)

medium Nessus プラグイン ID 64761

概要

リモート Red Hat ホストに 1 つ以上のセキュリティ更新がありません。

説明

1 つのセキュリティの問題と複数のバグを修正し、さまざまな拡張機能を追加する更新 httdp パッケージが Red Hat Enterprise Linux 6 に使用できるようになりました。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System (CVSS)のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

httpd パッケージには Apache HTTP Server(httpd)が含まれています。これは Apache Software Foundation の同名のプロジェクトです。

mod_negotiation Apache HTTP Server モジュールに、入力サニタイズの欠陥が見つかりました。リモートの攻撃者が MultiViews オプションが有効化されているディレクトリ内に任意の名前を持つファイルのアップロードや作成を行うことができる場合、この欠陥を利用してサイトにアクセスしているユーザーに対してクロスサイトスクリプティング攻撃を行うことができます。(CVE-2008-0455、 CVE-2012-2687)

mod_proxy_ajp はロードバランサモードにおいて mod_proxy との構成で使用されると、バックエンドサーバーをエラーとしてマークします。これはたとえ、以前の AJP(Apache Jserv Protocol)CPing リクエストがバックエンドによって反応される場合でも同じことが言えます。バックエンドがプロセスをリクエストするために過剰な時間を使用するようにできるリモートの攻撃者は、再試行タイムアウト期間まで、またはすべてのバックエンドサーバーがエラーとしてマークされるまで、バックエンド AJP サーバーにリクエストを mod_proxy が送信しないようにできます。(CVE-2012-4557)

これらの更新済み httpd パッケージには、多数のバグ修正および強化が含まれています。スペースの関係で、変更すべてを文書化しこのアドバイザリに反映されているわけではありません。これらの変更のなかで最も重要なものについては、「参照」でリンクされている Red Hat Enterprise Linux 6.4 テクニカルノートを参照してください。

httpd のユーザーはすべて、この更新パッケージにアップグレードすることをお勧めします。ここには、この問題修正と拡張機能追加を行うバックポートされたパッチが含まれます。更新済みパッケージをインストールすると、httpd デーモンは自動的に再起動されます。

ソリューション

影響を受けるパッケージを更新してください。

参考資料

http://www.nessus.org/u?b5caa05f

https://access.redhat.com/errata/RHSA-2013:0512

https://access.redhat.com/security/cve/cve-2012-4557

https://access.redhat.com/security/cve/cve-2008-0455

https://access.redhat.com/security/cve/cve-2012-2687

プラグインの詳細

深刻度: Medium

ID: 64761

ファイル名: redhat-RHSA-2013-0512.nasl

バージョン: 1.20

タイプ: local

エージェント: unix

公開日: 2013/2/21

更新日: 2021/1/14

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 4.2

CVSS v2

リスクファクター: Medium

Base Score: 5

Temporal Score: 3.9

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P

脆弱性情報

CPE: p-cpe:/a:redhat:enterprise_linux:httpd, p-cpe:/a:redhat:enterprise_linux:httpd-debuginfo, p-cpe:/a:redhat:enterprise_linux:httpd-devel, p-cpe:/a:redhat:enterprise_linux:httpd-manual, p-cpe:/a:redhat:enterprise_linux:httpd-tools, p-cpe:/a:redhat:enterprise_linux:mod_ssl, cpe:/o:redhat:enterprise_linux:6

必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2013/2/21

脆弱性公開日: 2008/1/24

参照情報

CVE: CVE-2008-0455, CVE-2012-2687, CVE-2012-4557

BID: 27409, 55131, 56753

CWE: 79

RHSA: 2013:0512