Oracle Linux 3/4：httpd（ELSA-2006-0619）
medium Nessus プラグイン ID 67402
Language:
概要
リモート Oracle Linux ホストに、1 つ以上のセキュリティ更新がありません。説明
Red Hat セキュリティアドバイザリ 2006:0619 から：セキュリティの問題とバグを修正する更新済みの Apache httpd パッケージが、Red Hat Enterprise Linux 3 および 4 で現在利用可能です。
Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。
Apache HTTP Server は、人気のある無料の Web サーバーです。
サーバーに送信された無効な Expect ヘッダーがユーザーにエスケープされないエラーメッセージを返すバグが、 Apache で見つかりました。これにより、被害者をトリックにかけ、サイトに接続させ、注意深く細工した Expect ヘッダーを送信させることにより攻撃者がクロスサイトスクリプティング攻撃を実行する可能性があります。(CVE-2006-3918)
サードパーティの攻撃者は Web ブラウザに任意の Expect ヘッダーを送信することを強制できません。一方、最近になって、Flash プラグインの特定のバージョンがリクエストヘッダーを操作できることが判明しました。
このようなバージョンを実行しているユーザーが悪意のある Flash アプレットのある Web ページをロードした場合、サーバーに対するクロスサイトスクリプティング攻撃を行う可能性があります。
Red Hat Enterprise Linux 3 および 4 システムでは、無効な形式の Expect ヘッダーの処理の非関連の問題により、ユーザーによって最初にキャンセルされなかった場合、クロスサイトスクリプティング攻撃によって生成されたページが、タイムアウト（デフォルトで 2～5 分）後にのみ返されます。
httpd のユーザーは、バックポートされたパッチが含まれるこれらのエラータパッケージへアップグレードし、これらの問題を修正する必要があります。
ソリューション
影響を受ける httpd パッケージを更新してください。参考資料
https://oss.oracle.com/pipermail/el-errata/2006-November/000001.html
https://oss.oracle.com/pipermail/el-errata/2007-March/000078.html
プラグインの詳細
深刻度: Medium
ID: 67402
ファイル名: oraclelinux_ELSA-2006-0619.nasl
バージョン: 1.9
タイプ: local
エージェント: unix
公開日: 2013/7/12
更新日: 2021/1/14
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.8
CVSS v2
リスクファクター: Medium
基本値: 4.3
現状値: 3.4
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N
脆弱性情報
CPE: p-cpe:/a:oracle:linux:httpd, p-cpe:/a:oracle:linux:httpd-devel, p-cpe:/a:oracle:linux:httpd-manual, p-cpe:/a:oracle:linux:httpd-suexec, p-cpe:/a:oracle:linux:mod_ssl, cpe:/o:oracle:linux:3, cpe:/o:oracle:linux:4
必要な KB アイテム: Host/local_checks_enabled, Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2006/11/30
脆弱性公開日: 2006/7/27
参照情報
CVE: CVE-2006-3918
BID: 19661
RHSA: 2006:0619