セキュリティ修正プログラム:

  - httpdのmod_session_cryptoモジュールが、ユーザーのブラウザーに格納されている暗号化されたセッションデータの整合性を検証するためのメカニズムを使用していなかったことがわかりました。
    リモートの攻撃者がこの欠陥を悪用して、パディングオラクル攻撃を使い、セッションデータを復号および変更する可能性があります。
    （CVE-2016-0736）

  - httpdのmod_auth_digestモジュールがメモリ割り当ての失敗を適切にチェックしていなかったことがわかりました。サーバーがHTTPダイジェスト認証を使用する場合、リモートの攻撃者がこの欠陥を悪用して、httpdの子プロセスでクラッシュを繰り返し発生させる可能性があります。（CVE-2016-2161）

  - httpdのHTTPパーサーが、HTTPプロトコル仕様で許可されていない特定の文字を不適切に許可し、HTTPリクエストヘッダーでエンコードされずに使用されていたことがわかりました。これらの文字を異なって解釈するプロキシサーバーやバックエンドサーバーとhttpdが組み合わせて使用された場合、リモートの攻撃者がこの欠陥を悪用して、HTTP応答にデータを挿入してプロキシキャッシュポイズニングを引き起こす可能性があります。（CVE-2016-8743）

注:CVE-2016-8743の問題を修正したことで、HTTPプロトコル仕様に厳密に従わないHTTPクライアントに対し、httpdが「400 Bad Request」エラーを返すようになりました。新たに導入された設定ディレクティブの「HttpProtocolOptions Unsafe」を使用して、あまり厳密でない古い解析を再び有効にすることができます。しかし、このような設定にもCVE-2016-8743の問題が再現されます。

バグ修正プログラム:

  - グレースフルリスタート中に子プロセスを起動するとき、再起動前に多数の子プロセスがアクティブだった場合、httpdの親が必要以上に多くの接続を開こうとする可能性があります。
    そのため、グレースフルリスタートが完了するまで長時間かかる可能性があります。今回の更新プログラムでは、httpdが修正されてグレースフルリスタート中に開いた接続数をアクティブな子の数に制限したため、前述の問題は発生しなくなりました。

  - 以前は、WebSocketサーバーへの接続が閉じられたときに、コンテナ内で実行されていたhttpdが500 HTTPステータスコード（内部サーバーエラー）を返していました。そのため、httpdサーバーは正しいHTTPステータスとデータをクライアントに配信できませんでした。この更新プログラムでは、WebSocketサーバーへのプロキシされたすべてのリクエストをhttpdが正しく処理するため、前述の問題は発生しなくなりました。

  - mod_authnz_ldapモジュールでLDAP認証を使用する構成では、AuthLDAPBindDNディレクティブを使用した名前設定が、すべてのクエリに対してLDAPサーバーに正しくバインドされていませんでした。そのため、認証の試行が失敗していました。LDAPモジュールは、設定された名前が確実にLDAPクエリに正しくバインドされるように修正され、LDAPを使用した認証の失敗はなくなりました。

検出

Scientific Linux セキュリティ更新: SL7.x x86_64のhttpde（20170412）

high Nessus プラグイン ID 99350

変更ログが見つかりません