lighttpd Web サーバーに、いくつかの脆弱性が発見されました。

- CVE-2014-2323 Jann Horn 氏は、特別に細工されたホスト名を利用して、MySQL 仮想ホスティングモジュール（mod_mysql_vhost）を使用し、任意の MySQL クエリを lighttpd サーバーに注入できることを発見しました。

これは、lighttpd-mod-mysql-vhost バイナリパッケージをインストールして使用しているインストールだけに影響します。

- CVE-2014-2324 Jann Horn 氏は、特別に細工されたホスト名を使用して、mod_mysql_vhost、mod_evhost、または mod_simple_vhost 仮想ホスティングモジュールのいずれかを使用する lighttpd サーバーの特定の状況で、ドキュメントルートの外側にトラバースできることを発見しました。

これらのモジュールを使用しないサーバーは影響を受けません。

検出

Debian DSA-2877-1：lighttpd - セキュリティ更新

high Nessus プラグイン ID 72992

変更ログが見つかりません