VendHQ の Scott Geary 氏は、CGI スクリプトの HTTP_PROXY 環境変数を初期化するために、Apache HTTPD サーバーが HTTP リクエストからのプロキシヘッダーの値を使用していることを発見しました。これは、発信 HTTP リクエストのプロキシを構成するために、特定の HTTP クライアント実装により引き続き不適切に使用されていました。リモートの攻撃者が、この欠陥を利用して、悪意のある HTTP リクエストを通じて、CGI スクリプトにより実行される HTTP リクエストを、攻撃者が制御するプロキシにリダイレクトする可能性があります。

Debian 7「Wheezy」では、この問題はバージョン 2.2.22-13+deb7u7 で修正されました。

apache2 パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

検出

Debian DLA-553-1：apache2 のセキュリティ更新

high Nessus プラグイン ID 92474

変更ログが見つかりません