httpd 用の更新が、Red Hat Enterprise Linux 5 および Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは、「参照」セクションで CVE リンクから脆弱性ごとに入手できます。

httpd パッケージにより、強力で効率の良い、拡張可能な Web サーバーである、 Apache HTTP Server が提供されます。

セキュリティ修正：

CGI スクリプトの HTTP_PROXY 環境変数を初期化するために、httpd が HTTP リクエストからの Proxy ヘッダーの値を使用していることが判明しました。これは、発信 HTTP リクエストのプロキシを構成するために、特定の HTTP クライアント実装により引き続き不適切に使用されていました。リモートの攻撃者が、この欠陥を利用して、悪意のある HTTP リクエストを通じて、CGI スクリプトにより実行される HTTP リクエストを、攻撃者が制御するプロキシにリダイレクトする可能性があります。（CVE-2016-5387）

注：この更新後は、httpd は HTTP_PROXY 環境変数を通じて Proxy リクエストヘッダーの値をスクリプトに渡さなくなります。

Red Hat は、この問題を報告してくれた Scott Geary 氏（VendHQ）に感謝の意を表します。

検出

CentOS 5/6：httpd（CESA-2016:1421）

high Nessus プラグイン ID 92378

バージョン 2.14