Debian DSA-2795-2：lighttpd - 複数の脆弱性

high Nessus プラグイン ID 70982

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

lighttpd Web サーバーで、いくつかの脆弱性が発見されています。

クライアント証明書との SSL 接続が、lighttpd の DSA-2795-1 更新後に動作を停止することが判明しました。クライアント証明書検証のための適切な識別子を提供する Upstream パッチが適用されるようになりました。

- CVE-2013-4508 SNI（Server Name Indication）が有効になっている場合、lighttpd が弱い SSL 暗号を使用することが判明しました。この問題は、SNI が選択されている場合に、より強い SSL 暗号を確実に使用することで解決しました。

- CVE-2013-4559 lighttpd の setuid、setgid、および setgroups 呼び出しの欠落による権限昇格問題を発見するために、clang 静的アナライザーが使用されました。これらは適切にチェックされるようになりました。

- CVE-2013-4560 FAM stat キャッシュエンジンが有効になっている場合に、use-after-free 問題を発見するために clang 静的アナライザーが使用されました。これは現在修正されています。

ソリューション

lighttpd パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（squeeze）では、これらの問題はバージョン 1.4.28-2+squeeze1.5 で修正されています。

安定版（stable）ディストリビューション（wheezy）に対して、これらの問題はバージョン 1.4.31-4+deb7u2 で修正されています。