Apache2 Web サーバーが更新され、いくつかのセキュリティ問題が修正されました。

修正されたセキュリティの課題：

- Apache HTTP Server のチャンク転送コード実装が、チャンクヘッダーを適切に解析していませんでした。これにより、リモートの攻撃者が、modules/http/http_filters.c の大きなチャンクサイズの値と無効なチャンク拡張文字の不適切な処理に関連して、細工されたリクエストで HTTP リクエストスマグリングを実行する可能性があります。[bsc#938728、CVE-2015-3183]

- LOGJAM のセキュリティの問題が次により対処されました：[bnc#931723 CVE-2015-4000]

- SSLCipherSuite 暗号化文字列を変更して、エクスポート暗号化パッケージを無効化し、エフェメラル楕円曲線ディフィー・ヘルマン（ECDHE）暗号を展開します。

-「gensslcert」スクリプトを調整し、強い一意のディフィー・ヘルマングループを生成し、サーバー証明書ファイルに追加します。

- Apache HTTP Server 2.4.x の server/request.c の ap_some_auth_required 関数が、Require ディレクティブが認証設定ではなく承認設定と関連づけられている可能性があることを配慮していませんでした。これにより、リモートの攻撃者が、2.2 API の動作に依存するモジュールの存在を利用して、意図されたアクセス制限を状況によってはバイパスする可能性がありました。[bnc#938723 bnc#939516 CVE-2015-3185]

- JkMount/JkUnmount ディレクティブの不適切な処理による Tomcat mod_jk の情報漏洩 [bnc#927845 CVE-2014-8111]

その他のバグ修正：

- 現在は suse_maintenance_mmn_# を提供しています [bnc#915666]。

- %files のハードコードモジュール [bnc#444878]。

- SSLSessionCache 周辺の IfModule ディレクティブを修正しました [bnc#911159]。

- Yast2 ファイアウォールファイルの TCP ポートのみを許可します [bnc#931002]

- バックエンド接続が再利用された場合に、一部の LDAP 検索または比較が間違った認証情報で実行される回帰を修正しました [bnc#930228]

- split-logfile2 スクリプトを修正しました [bnc#869790]

- 変更された MODULE_MAGIC_NUMBER_MINOR を削除します。これにより、apache が提供しない機能を期待する方法をモジュールが混乱します。[bnc#915666]

- gensslcert：現在　CN はデフォルトで「hostname -f」になっています [bnc#949766]、ヘルプを修正します [bnc#949771]

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

検出

SUSE SLES12 セキュリティ更新：apache2（SUSE-SU-2015:1851-1）（Logjam）

low Nessus プラグイン ID 86703

バージョン 2.15