Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - OpenBSD 上の Apache HTTP Server は 1.3.22 ～ 1.3.27 、リモートの攻撃者が、(1) inode 番号を明らかにする ETag ヘッダー、または (2) 子プロセス ID（PID）を明らかにするマルチパート MIME 境界を介して、機密情報を取得する可能性があります。 （CVE-2003-1418）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Apache2 Web サーバーが更新され、さまざまな問題が修正されました。

以下の機能が追加されました：

- バックエンド websockets サーバーに対する Web ソケット接続のトンネリングのサポートを提供します。
 （FATE#316880）以下のセキュリティ問題が修正されています：

- Apache HTTP Server 2.2.22 の mod_headers モジュールにより、リモートの攻撃者が、チャンク転送コーディングで送信されるデータのトレーラー部分にヘッダーを配置することにより、「RequestHeader unset」ディレクティブをバイパスする可能性がありました。この修正は、レガシーの動作を復元するために、「MergeTrailers」ディレクティブも追加します。(CVE-2013-5704)

- Apache HTTP Server における mod_cache モジュールの modules/cache/cache_util.c の cache_merge_headers_out 関数により、リモートの攻撃者が、空の HTTP Content-Type ヘッダーを介して、サービス拒否（NULL ポインターデリファレンスとアプリケーションクラッシュ）を引き起こす可能性がありました。(CVE-2014-3581)

- Apache HTTP Server により、リモートの攻撃者が、(1) inode 番号を露出する ETag ヘッダーまたは (2) 子プロセス ID（PID）を露出するマルチパート MIME 境界を介して、機密情報を取得する可能性があります。弊社は今のところ、これが攻撃者に有効なものではないと考えています。この修正は、基本的には潜在的な情報漏洩を軽減するだけのものです。
 (CVE-2003-1418)

以下のバグは修正済みです：

- 「サーバーが利用不可です」状態を、全 LDAP SDK にある一時的なエラーとして処理します。（bsc#904427）

- certs が 2 つ以上の server_rec の間で共有されている場合に、スタートアップ時のセグメンテーション違反を修正しました。（bsc#907339）

ETag ヘッダーがリクエストされたファイルの inode 番号などの機密情報を提供し、これが攻撃者の活動を支援する可能性があるため、リモート Web サーバーが情報漏洩の脆弱性による影響を受けます。

リモートホストにインストールされている Oracle HTTP Server のバージョンは、SSL/TLS モジュールサブコンポーネントの情報漏洩の脆弱性による影響を受けます。認証されていないリモートの攻撃者が、これを悪用して、機密情報を漏洩させる可能性があります。

リモートホストにインストールされている Oracle HTTP Server のバージョンは、Web Listener サブコンポーネントでの次の複数の脆弱性による影響を受けます：

- 特別に細工された XML ファイルにより、ヒープベースのバッファオーバーフローを通じて、libxml2 ライブラリを使用しているアプリケーションをクラッシュさせることができます。
 (CVE-2011-1944)

- 「ap_pregsub」関数での整数オーバーフローにより、mod_setenvif モジュールが有効な場合、ローカルの攻撃者は、SetEnvIf ディレクティブと HTTP リクエストヘッダーの細工された組み合わせを持つ「.htaccess」ファイルを使用することで、権限を取得することができます。(CVE-2011-3607)

- 特別に細工された XML ファイルにより、libxml2 を使用しているアプリケーションに CPU を過剰に消費させることで、サービス拒否を引き起こすことができます。これは、線形複雑度問題に関する「内部エンティティ拡張」としても知られています。
 (CVE-2013-0338)

- 特別に細工された XML ファイルにより、領域外の読み取りエラーを引き起こすことで、libxml2 を使用しているアプリケーションをクラッシュさせることができます。(CVE-2013-2877)

- mod_headers モジュール内に欠陥があることにより、リモートの攻撃者が任意のヘッダーを注入できます。
 これは、チャンク化された転送エンコーディングを使って送信されるデータのトレーラー部分にヘッダーを配置することで、実行されます。
 (CVE-2013-5704)

- mod_dav モジュール内の「dav_xml_get_cdata」関数は、CDATA セクションからの空白文字を正しく除去していません。リモートの攻撃者は、特別に細工された DAV WRITE リクエストを使用することで、サービス拒否を引き起こすことができます。(CVE-2013-6438)

- mod_log_config モジュール内の「log_cookie」関数は、切り捨ての段階で特別に細工されたクッキーを処理していません。これにより、リモートの攻撃者は、セグメンテーション違反を通じて、サービス拒否を引き起こすことができます。(CVE-2014-0098)

- エンティティの置換が無効な場合でも、libxml2 は外部パラメーターエンティティをロードできます。リモートの攻撃者は、この欠陥を悪用して、特別に細工された XML ファイルを使用することで、XML 外部エンティティ（XXE）攻撃を仕掛けることができます。これにより、CPU とメモリリソースを使い果たし、その結果サービス拒否を引き起こします。(CVE-2014-0191)

- スレッド化されたマルチプロセッシングモジュール（MPM）を使用しているサーバーで、mod_status モジュールに競合状態が存在します。
 リモートの攻撃者が mod_status により供給される状態ページにアクセスできる場合、彼らはこの欠陥を悪用して、特別に細工されたリクエストを送信することで、httpd 子プロセスをクラッシュさせることができるか、Web サーバーを実行しているユーザーの権限で、任意のコードを実行することができます。(CVE-2014-0226)

- システムの機密性と安定性に影響を与える可能性がある、Oracle HTTP Server に特有の、いくつかの詳細不明な脆弱性が存在します。（CVE-2014-6571、 CVE-2015-0372、CVE-2015-0386）

リモートホストにインストールされている Oracle HTTP Server のバージョンは、複数の脆弱性の影響を受けます。

- parser.c ファイルにある xmlParserHandlePEReference() 関数に関連した libxml2 に、サービス拒否の脆弱性が存在します。これは、doctype プロローグでのエンティティ置換の場合のように、エンティティ置換または検証が有効かどうかに関係なく、外部パラメーターエンティティをロードするためです。認証されていないリモートの攻撃者がこれを悪用して、特別に細工された XML コンテンツを介して、システム CPU メモリ、またはファイル記述子リソースを枯渇させる可能性があります。(CVE-2014-0191)

- Web Listener コンポーネントに詳細不明の脆弱性が存在します。これにより、認証されていないリモートの攻撃者が可用性に影響を与えることができます。(CVE-2015-1829)

- OSSL モジュールに詳細不明の脆弱性が存在します。これにより、認証されていないリモートの攻撃者が機密性に影響を与えることができます。(CVE-2015-4812)

- Web Listener コンポーネントに詳細不明の脆弱性が存在します。これにより、認証されたリモートの攻撃者が機密性に影響を与えることができます。(CVE-2015-4914)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
217019	Linux Distros のパッチ未適用の脆弱性: CVE-2003-1418	Nessus	Misc.	2025/3/3	2025/3/3	critical
82657	SuSE 11.3 セキュリティ更新：apache2（SAT パッチ番号 10533）	Nessus	SuSE Local Security Checks	2015/4/9	2021/1/6	medium
88098	Apache Server ETag ヘッダーの情報漏洩	Nessus	Web Servers	2016/1/22	2025/2/11	medium
92542	Oracle Fusion Middleware Oracle HTTP Server の情報漏洩（2016 年 7 月 CPU）	Nessus	Web Servers	2016/7/25	2025/2/18	medium
81002	Oracle Fusion Middleware Oracle HTTP Server の複数の脆弱性（2015 年 1 月 CPU）	Nessus	Web Servers	2015/1/27	2024/6/19	high
86569	Oracle Fusion Middleware Oracle HTTP Server 複数の脆弱性（2015 年 10 月 CPU）	Nessus	Web Servers	2015/10/23	2024/6/19	high

検出

プラグインの検索

critical

medium

medium

medium

high

high