Apache HTTP Server 2.4.x～2.4.10までのApache HTTP Server 2.3.xにおけるmod_luaモジュールのmod_lua.cは、同じLua承認プロバイダーが異なるコンテキスト内の異なる引数で使用されるhttpd構成をサポートしません。これにより、リモートの攻撃者が、あるグループの承認を指定して、特定のディレクトリにアクセスし、2番目のグループの承認を指定して、2番目のディレクトリにアクセスする構成で示されるように、複数のRequireディレクティブを利用して、これに便乗した状況で意図されたアクセス制限をバイパスする可能性があります。（CVE-2014-8109）

チャンクされたエンコーディングを使用しているリクエストを処理する際に、httpd が HTTP Trailer ヘッダーを処理する方法で、欠陥が見つかりました。悪意あるクライアントが、Trailer ヘッダーを利用して、ヘッダー処理が他のモジュールにより行われた後に追加の HTTP ヘッダーを設定する可能性があります。これにより、たとえば、mod_headers で定義されるヘッダー制限がバイパスされる可能性があります。
（CVE-2013-5704）

mod_cache httpd モジュールが Content-Type ヘッダーを処理する方法で、NULL ポインターデリファレンスの欠陥が見つかりました。Apache HTTP Server がキャッシングを有効とするサーバーへのプロキシとして構成される場合、悪意ある HTTP サーバーが、httpd 子プロセスをクラッシュさせる可能性があります。
（CVE-2014-3581）

Apache HTTP Server 2.4.10におけるmod_proxy_fcgiモジュールのmod_proxy_fcgi.cのhandle_headers関数により、リモートFastCGIサーバーが、長い応答ヘッダーでサービス拒否（バッファオーバーリードおよびデーモンクラッシュ）を引き起こす可能性があります。（CVE-2014-3583）

検出

Amazon Linux AMI：httpd24（ALAS-2015-483）

medium Nessus プラグイン ID 81329

変更ログが見つかりません