Apache2 HTTPサーバーにいくつかの脆弱性が発見されました:

  - CVE-2016-0736 RedTeam Pentesting GmbHは、mod_session_cryptoがパディングオラクル攻撃に脆弱であることを発見しました。これにより、攻撃者がセッションクッキーを推測する可能性があります。

  - CVE-2016-2161 Maksim Malyutin氏は、mod_auth_digestへの悪意のある入力により、サーバーがクラッシュし、サービス拒否が引き起こされる可能性があることを発見しました。

  - CVE-2016-8743 IBM SecurityのX-Force ResearchersのDavid Dennerline氏およびRegis Leroy氏は、ApacheがHTTPリクエストで異常な空白パターンの幅広いパターンを処理する方法に問題があることを発見しました。一部の構成では、これにより応答分割またはキャッシュ汚染の脆弱性が発生する可能性があります。これらの問題を修正するために、この更新では、Apache httpdが受け入れるHTTPリクエストの内容をより厳密にします。

  これにより、適合していないクライアントで問題が発生する場合、新しいディレクティブ「HttpProtocolOptions unsafe」を構成に追加することで、一部のチェックを緩和できます。

この更新は、新規インストールでmod_reqtimeoutがデフォルトで有効化されない問題も修正します。

検出

Debian DSA-3796-1: apache2 - セキュリティ更新プログラム

high Nessus プラグイン ID 97400

変更ログが見つかりません