Amazon Linux AMI：subversion（ALAS-2013-180）
medium Nessus プラグイン ID 69739
Language:
概要
リモート Amazon Linux AMI ホストに、セキュリティ更新がありません。説明
NULL ポインターデリファレンスの欠陥が、mod_dav_svn モジュールが PROPFIND リクエストをアクティビティ URL で処理する方法で見つかりました。リモートの攻撃者がこの欠陥を悪用して、リクエストを出している httpd プロセスをクラッシュさせる可能性があります。(CVE-2013-1849)mod_dav_svn モジュールがプロパティの大きな数字（「svn propset」コマンドで設定されるものなど）を処理する方法で欠陥が見つかりました。悪意あるリモートユーザーがこの欠陥を悪用して、リクエストを出している httpd プロセスに過剰な量のシステムメモリを消費させる可能性があります。(CVE-2013-1845)
2 つの NULL ポインターデリファレンスの欠陥が、mod_dav_svn モジュールが URL の特定タイプでロックリクエストを処理する方法で見つかりました。悪意あるリモートの攻撃者がこれらの欠陥を悪用して、リクエストを出している httpd プロセスをクラッシュさせる可能性があります。（CVE-2013-1846、CVE-2013-1847）
注：CVE-2013-1849、CVE-2013-1846、および CVE-2013-1847 の問題は、Apache HTTP Server がクラッシュした子プロセスを置き換えるために新しいプロセスを起動したため、一時的なサービス拒否を引き起こしただけでした。prefork MPM の使用時には、クラッシュは攻撃者だけに影響を与えました。worker （スレッド化された）MPM の使用時には、他のユーザーの接続が中断される可能性があります。
ソリューション
「yum update subversion」を実行してシステムを更新してください。参考資料
プラグインの詳細
深刻度: Medium
ID: 69739
ファイル名: ala_ALAS-2013-180.nasl
バージョン: 1.5
タイプ: local
エージェント: unix
公開日: 2013/9/4
更新日: 2018/4/18
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.4
CVSS v2
リスクファクター: Medium
基本値: 5
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
脆弱性情報
CPE: p-cpe:/a:amazon:linux:subversion-libs, p-cpe:/a:amazon:linux:subversion-perl, p-cpe:/a:amazon:linux:subversion-python, p-cpe:/a:amazon:linux:subversion-ruby, p-cpe:/a:amazon:linux:subversion-tools, cpe:/o:amazon:linux, p-cpe:/a:amazon:linux:mod_dav_svn, p-cpe:/a:amazon:linux:subversion, p-cpe:/a:amazon:linux:subversion-debuginfo, p-cpe:/a:amazon:linux:subversion-devel, p-cpe:/a:amazon:linux:subversion-javahl
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
パッチ公開日: 2013/4/11
参照情報
CVE: CVE-2013-1845, CVE-2013-1846, CVE-2013-1847, CVE-2013-1849