1.4.33 より前の lighttpd の use-after-free 脆弱性により、リモートの攻撃者が、FAMMonitorDirectory の失敗を発生させるベクトルを介して、サービス拒否（セグメンテーション違反およびクラッシュ）を引き起こす可能性があります。

SNI が有効の場合、1.4.34 より前の lighttpd は、リモートの攻撃者がクライアントサーバーのデータストリームへパケットを挿入してセッションをハイジャックしたり、ネットワークを盗聴ことで機密情報を取得する可能性がある脆弱な SSL 暗号を構成します。

1.4.33 より前の lighttpd は、(1) setuid、(2) setgid　または (3) setgroups 関数の戻り値をチェックしません。これにより、それが再起動し、リモートの攻撃者に権限昇格を許した場合、lighttpd をルートとして実行する可能性があります。これはユーザープロセスが制限へ達した場合に setuid を失敗させる クローン関数への複数の呼び出しにより実証されています。

検出

Amazon Linux AMI：lighttpd（ALAS-2014-299）

high Nessus プラグイン ID 72947

変更ログが見つかりません