lighttpd Web サーバーで、いくつかの脆弱性が発見されています。

クライアント証明書との SSL 接続が、lighttpd の DSA-2795-1 更新後に動作を停止することが判明しました。クライアント証明書検証のための適切な識別子を提供する Upstream パッチが適用されるようになりました。

- CVE-2013-4508 SNI（Server Name Indication）が有効になっている場合、lighttpd が弱い SSL 暗号を使用することが判明しました。この問題は、SNI が選択されている場合に、より強い SSL 暗号を確実に使用することで解決しました。

- CVE-2013-4559 lighttpd の setuid、setgid、および setgroups 呼び出しの欠落による権限昇格問題を発見するために、clang 静的アナライザーが使用されました。これらは適切にチェックされるようになりました。

- CVE-2013-4560 FAM stat キャッシュエンジンが有効になっている場合に、use-after-free 問題を発見するために clang 静的アナライザーが使用されました。これは現在修正されています。

検出

Debian DSA-2795-2：lighttpd - 複数の脆弱性

high Nessus プラグイン ID 70982

変更ログが見つかりません