Debian DSA-2877-1：lighttpd - セキュリティ更新

high Nessus プラグイン ID 72992

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

lighttpd Web サーバーに、いくつかの脆弱性が発見されました。

- CVE-2014-2323 Jann Horn 氏は、特別に細工されたホスト名を利用して、MySQL 仮想ホスティングモジュール（mod_mysql_vhost）を使用し、任意の MySQL クエリを lighttpd サーバーに注入できることを発見しました。

これは、lighttpd-mod-mysql-vhost バイナリパッケージをインストールして使用しているインストールだけに影響します。

- CVE-2014-2324 Jann Horn 氏は、特別に細工されたホスト名を使用して、mod_mysql_vhost、mod_evhost、または mod_simple_vhost 仮想ホスティングモジュールのいずれかを使用する lighttpd サーバーの特定の状況で、ドキュメントルートの外側にトラバースできることを発見しました。

これらのモジュールを使用しないサーバーは影響を受けません。

ソリューション

lighttpd パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（squeeze）では、これらの問題はバージョン 1.4.28-2+squeeze1.6 で修正されています。

安定版（stable）ディストリビューション（wheezy）に対して、これらの問題はバージョン 1.4.31-4+deb7u3 で修正されています。