Red Hat セキュリティアドバイザリ 2010:0175 から：

1 つのセキュリティ問題、バグを修正し、強化を追加する更新済みの httpd パッケージが、Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Apache HTTP Server は人気のある Web サーバーです。

Apache HTTP Server がサブリクエストのリクエストヘッダーを処理する方法に use-after-free 欠陥が見つかりました。サブリクエストが使用される構成で、マルチスレッドの MPM（Multi-Processing Module）は、リクエストの返信で他のリクエストからの情報を漏洩することがあります。(CVE-2010-0434)

この更新では以下のバグも修正されます。

* mod_dav モジュールにバグが見つかりました。既存のファイルの PUT リクエストが失敗すると、そのファイルは予期せず削除され、「次のバケットブリゲードを取得できませんでした」エラーがログに記録されます。この更新では、 PUT リクエストが失敗してももはや mod_dav がファイルを削除しなくなり、この問題が解決します。（BZ#572932）

また、この更新により次の強化策が追加されます。

* RHSA-2010:0163 からの更新された openssl をインストールすると、mod_ssl will は RFC 5746 をサポートしていないパッチ未適用のクライアントとの TLS/SSL 接続の再ネゴシエーションを拒否します。この更新は、「SSLInsecureRenegotiation」構成ディレクティブを追加します。このディレクティブが有効な場合、 mod_ssl はパッチを適用していないクライアントと安全でない再ネゴシエーションを行います。（BZ#575805）

変更された mod_ssl 動作の詳細については、以下の Red Hat Knowledge Base 記事を参照してください：
http://kbase.redhat.com/faq/docs/DOC-20491

httpd の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正し、この強化を追加する必要があります。更新したパッケージをインストールした後、更新を有効にするために httpd デーモンを再起動する必要があります。

検出

Oracle Linux 4：httpd（ELSA-2010-0175）

medium Nessus プラグイン ID 68024

変更ログが見つかりません