Red Hat セキュリティアドバイザリ 2011:0507 から：

1 つのセキュリティ問題を修正する更新済み apr パッケージが、 Red Hat Enterprise Linux 4、5、6 で使用できるようになりました。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Apache Portable Runtime（APR）は、Apache HTTP Server およびその他のプロジェクトで使用されるポータビリティライブラリです。これにより、C データ構造およびルーチンの無料のライブラリが提供されます。

「*」ワイルドカード付きのパターンを処理するとき、apr_fnmatch() 関数で、拘束されない再帰が使用されることが、見つかりました。攻撃者がこの欠陥を利用して、信頼されない入力もマッチングのパターンとして受け入れるこの関数を使用するアプリケーション（mod_autoindex モジュールサーバーなど）を使用する httpd で、マッチング実行時にすべてのスタックメモリを消耗することや、過大な量の CPU 時間を使用することがあります。(CVE-2011-0419)

Red Hat は、この問題を報告していただいた Maksymilian Arciemowicz 氏に感謝の意を表します。

apr のすべてのユーザーは、これらの更新済みパッケージにアップグレードする必要があります。これには、この問題を修正する、バックポートされたパッチが含まれています。httpd などの apr ライブラリを使用するアプリケーションは、この更新を有効にするために再起動する必要があります。

検出

Oracle Linux 4/5/6：apr（ELSA-2011-0507）

medium Nessus プラグイン ID 68275

変更ログが見つかりません