Apache HTTP Server でプロキシされたリクエスト用のリクエスト URI が適切に検証されなかったことが発見されました。特定の構成では、リバースプロキシで ProxyPassMatch ディレクティブを使用した場合や、リバースプロキシのプロキシフラグで RewriteRule ディレクティブを使用した場合、リモートの攻撃者がプロキシを任意のサーバーに接続し、攻撃者が直接アクセスできない内部の Web サーバーから機密情報を漏洩する可能性があります。（CVE-2011-3368）

特定の無効な形式の HTTP リクエストを処理するときに、mod_proxy_ajp が誤って「内部サーバーエラー」応答を返すことが判明しました。これにより、負荷バランサーモードで mod_proxy が使用される構成で、バックエンドのサーバーは障害ありとしてマークされます。リモートの攻撃者は、再試行タイムアウト期間にわたって、あるいはすべてのバックエンドサーバーが障害ありとマークされるまで、バックエンド AJP（Apache JServ Protocol）サーバーへのリクエストを mod_proxy に送信させないことが可能でした。（CVE-2011-3348）

検出

Amazon Linux AMI：httpd（ALAS-2011-9）

medium Nessus プラグイン ID 78270

変更ログが見つかりません