Red Hat セキュリティアドバイザリ 2013:0512 から：

1 つのセキュリティの問題と複数のバグを修正し、さまざまな拡張機能を追加する更新 httdp パッケージが Red Hat Enterprise Linux 6 に使用できるようになりました。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

httpd パッケージには Apache HTTP Server（httpd）が含まれています。これは Apache Software Foundation の同名のプロジェクトです。

mod_negotiation Apache HTTP Server モジュールに、入力サニタイズの欠陥が見つかりました。リモートの攻撃者が MultiViews オプションが有効化されているディレクトリ内に任意の名前を持つファイルのアップロードや作成を行うことができる場合、この欠陥を利用してサイトにアクセスしているユーザーに対してクロスサイトスクリプティング攻撃を行うことができます。（CVE-2008-0455、 CVE-2012-2687）

mod_proxy_ajp はロードバランサモードにおいて mod_proxy との構成で使用されると、バックエンドサーバーをエラーとしてマークします。これはたとえ、以前の AJP（Apache Jserv Protocol）CPing リクエストがバックエンドによって反応される場合でも同じことが言えます。バックエンドがプロセスをリクエストするために過剰な時間を使用するようにできるリモートの攻撃者は、再試行タイムアウト期間まで、またはすべてのバックエンドサーバーがエラーとしてマークされるまで、バックエンド AJP サーバーにリクエストを mod_proxy が送信しないようにできます。(CVE-2012-4557)

これらの更新済み httpd パッケージには、多数のバグ修正および強化が含まれています。スペースの関係で、変更すべてを文書化しこのアドバイザリに反映されているわけではありません。これらの変更のなかで最も重要なものについては、「参照」でリンクされている Red Hat Enterprise Linux 6.4 テクニカルノートを参照してください。

httpd のユーザーはすべて、この更新パッケージにアップグレードすることをお勧めします。ここには、この問題修正と拡張機能追加を行うバックポートされたパッチが含まれます。更新済みパッケージをインストールすると、httpd デーモンは自動的に再起動されます。

検出

Oracle Linux 6：httpd（ELSA-2013-0512）

medium Nessus プラグイン ID 68750

変更ログが見つかりません