在 mod_negotiation 模組中發現輸入清理瑕疵。遠端攻擊者若能以任意名稱在已啟用 MultiViews 選項的目錄中上傳或建立檔案，便可利用這些瑕疵對造訪該網站的使用者發動跨網站指令碼及 HTTP 回應分割攻擊。(CVE-2008-0455、CVE-2008-0456、CVE-2012-2687)

錯誤修正：

- 之前，在執行「mod_ssl」套件的「%post」指令碼之前，不會檢查 /etc/pki/tls/private/localhost.key 檔案是否為有效的金鑰。因此，當 /etc/pki/tls/certs/localhost.crt 不存在且「localhost.key」出現但無效時，使用 mod_ssl 升級 Apache HTTP Server 程序 (httpd) 會失敗。
 「%post」指令碼已修正，可測試現有的 SSL 金鑰。因此，現在使用 mod_ssl 升級 httpd 可如預期般進行。

-「mod_ssl」模組不支援 FIPS 模式下的作業。因此，在啟用 FIPS 模式的情況下操作 Scientific Linux 5 時，httpd 會無法啟動。現已套用上游修補程式，如果在 FIPS 模式下操作，將會停用非 FIPS 功能，且 httpd 現在會如預期般啟動。

- 在此更新之前，httpd 結束狀態程式碼與 Linux Standard Base (LSB) 不相容。當執行 'service httpd reload' 命令且 httpd 失敗時，傳回的結束狀態程式碼為「0」，而不是如預期的在 1 至 6 的範圍內。現已套用修補程式至 init 指令碼，且現在 httpd 會傳回「1」作為結束狀態程式碼。

- 區塊傳輸編碼詳述於 RFC 2616 中。
 之前，Apache 伺服器並未正確處理具有 32 位元組或更多的「chunk- size」或「chunk-extension」值的區塊編碼 POST 要求。
 因此，當提出這類 POST 要求時，伺服器不會回應。現已套用上游修補程式，因此不會再發生此問題。

- 由於迴歸的原因，當 mod_cache 收到無法快取的 304 回應時，會提供錯誤的標頭。因此，壓縮的資料可傳回給用戶端，但卻沒有快取標頭指示該資料是壓縮的。現已套用上游修補程式，在來自快取的資料提供給用戶端之前，會合併回應和快取的標頭。因此，用戶端現在可以正確解譯快取資料。

- 在 Proxy 組態中，並未正確處理特定的回應行字串。如果從原始伺服器收到沒有「說明」字串的回應行，則針對非標準狀態程式碼 (例如「450」狀態程式碼)，會傳回「500 內部伺服器錯誤」給用戶端。此錯誤已修正，因此會將原始回應行傳回給用戶端。

增強功能：

- 除了先前已引入的「LDAPChaseReferrals」之外，現在也支援組態指示詞「LDAPReferrals」。

- 針對「mod_proxy」的 AJP 支援模組「mod_proxy_ajp」，現在開始支援「ProxyErrorOverride」指示詞。
 因此，現在可以針對透過 AJP 存取之後端伺服器上執行的 Web 應用程式，設定自訂的錯誤頁面。

- 現在可以停用會在套件升級之後自動重新啟動 httpd 服務的「%posttrans」程式碼片段。如果 /etc/sysconfig/httpd- disable-posttrans 檔案存在，則程式碼片段不會重新啟動程序。

-「httpd -S」的輸出現在會包含每個虛擬主機的已設定別名。

- 現在，新的憑證變數名稱是由使用「_DN_userID」尾碼的「mod_ssl」所顯露，例如「SSL_CLIENT_S_DN_userID」，其中使用了常用的「userID」之物件識別碼 (OID) 定義，亦即 OID 0.9.2342.19200300.100.1.1。

遠端 Oracle Linux 5 主機中安裝的套件受到 ELSA-2013-0130 公告中提及的多個弱點影響。

    - 新增 的安全性修正 CVE-2008-0456
    - 新增 CVE-2012-2687 的安全性修正 (#850794)

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

この更新には、Apache HTTP Server の 2.2.23 リリースが含まれています。

http://www.eu.apache.org/dist/httpd/CHANGES_2.2.23

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2013:0512 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    httpd パッケージには Apache HTTP Server（httpd）が含まれています。これは Apache Software Foundation の同名のプロジェクトです。

    mod_negotiation Apache HTTP Server モジュールに、入力サニタイズの欠陥が見つかりました。MultiViews オプションが有効になっているディレクトリで任意の名前のファイルをアップロードまたは作成できるリモートの攻撃者が、この欠陥を利用して、サイトにアクセスしたユーザーに対してクロスサイトスクリプティング攻撃を実行する可能性があります。 （CVE-2008-0455、 CVE-2012-2687）

    mod_proxy_ajp はロードバランサモードにおいて mod_proxy との構成で使用されると、バックエンドサーバーをエラーとしてマークします。これはたとえ、以前の AJP（Apache Jserv Protocol）CPing リクエストがバックエンドによって反応される場合でも同じことが言えます。リモートの攻撃者が、リクエストを処理するために過剰な時間をバックエンドに使用させることができます。により、mod_proxyが、再試行タイムアウト時間の間、またはすべてのバックエンドサーバーが失敗としてマークされるまで、リクエストをバックエンドAJPサーバーに送信しないようにする可能性があります。 （CVE-2012-4557）

    これらの更新済み httpd パッケージには、多数のバグ修正および強化が含まれています。
    スペースの関係上、このアドバイザリにこれらの変更がすべて記載されているわけではありません。これらの変更のなかで最も重要なものについては、「参照」でリンクされている Red Hat Enterprise Linux 6.4 テクニカルノートを参照してください。

    httpd のユーザーはすべて、この更新パッケージにアップグレードすることをお勧めします。ここには、この問題修正と拡張機能追加を行うバックポートされたパッチが含まれます。更新済みパッケージのインストール後、httpd デーモンは自動的に再起動します。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

複数のセキュリティの問題やさまざまなバグを修正し、拡張機能を追加する更新済みの httpd パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

httpd パッケージには Apache HTTP Server（httpd）が含まれています。これは Apache Software Foundation の同名のプロジェクトです。

mod_negotiation モジュールで、入力サニタイズの欠陥が見つかりました。MultiViews オプションが有効化されているディレクトリに任意の名前を持つファイルのアップロードや作成を行うことができるリモートの攻撃者が、これらの欠陥を利用して、サイトにアクセスしているユーザーに対してクロスサイトスクリプティングおよび HTTP 応答分割の攻撃を行う可能性があります。（CVE-2008-0455、 CVE-2008-0456、CVE-2012-2687）

バグ修正：

* 以前は、「mod_ssl」パッケージに対して「%post」スクリプトを実行する前に、 /etc/pki/tls/private/localhost.key ファイルが有効なキーであるかどうかをチェックしていませんでした。その結果、 /etc/pki/tls/certs/localhost.crt が存在しなくて、「localhost.key」が存在するが無効である場合、 mod_ssl で Apache HTTP Server デーモン（httpd）をアップグレードすることができませんでした。現在は、「%post」スクリプトが修正され、既存の SSL キーをテストします。その結果、現在では httpd を mod_ssl でアップグレードすると、期待通りの処理が行われるようになっています。（BZ#752618）

* 「mod_ssl」モジュールが、FIPS モードの操作をサポートしていませんでした。
その結果、FIPS モードを有効にして、Red Hat Enterprise Linux 5 を動作させると、 httpd を起動できませんでした。現在は、FIPS モードで動作させる場合に、上流のパッチを適用して、非 FIPS 機能性を無効にすると、 httpd を期待通りに起動できます。（BZ#773473）

* この更新が出る前は、httpd の終了ステータスコードに Linux Standard Base（LSB）との互換性がありませんでした。コマンド「service httpd reload」が実行されて、 httpd が失敗すると、返される終了ステータスコードは「0」であり、予期されていた 1 ～ 6 の範囲ではありませんでした。init スクリプトにパッチが適用され、現在では httpd が終了ステータスコードとして予期されていた通りの「1」を返すようになっています。
（BZ#783242）

* チャンク転送のコーディングは RFC 2616 で説明されています。以前は、「チャンクのサイズ」または「チャンク拡張」の値が 32 バイト以上の場合、 Apache サーバーがチャンクエンコードされた POST リクエストを適切に処理していませんでした。
結果として、このような POST リクエストが作成されても、サーバーは応答していませんでした。現在は、上流のパッチが適用され、この問題は発生しなくなりました。（BZ#840845）

* 回帰のため、mod_cache がキャッシュできない 304 応答を受け取ると、間違ったヘッダーが提供されていました。その結果、キャッシュされたヘッダーがデータが圧縮されていることを表示することなく、圧縮されたデータがクライアントへ返されていました。上流のパッチが適用されて、キャッシュからのデータがクライアントへ提供される前に、応答とキャッシュされたヘッダーが結合されるようになっています。この結果、現在は、キャッシュされたデータがクライアントによって正しく解釈されています。（BZ#845532）

* プロキシの構成で、特定の応答行の文字列が適切に処理されていませんでした。「説明」文字列がない応答行が生成元サーバーから受信されると、「450」ステータスコードなどの非標準のステータスコードでは「500 Internal Server Error」がクライアントに返されます。このバグは修正され、現在では、生成元の応答行がクライアントに返されるようになっています。（BZ#853128）

強化点：

* 以前に導入された「LDAPChaseReferrals」に加えて、構成ディレクティブ「LDAPReferrals」が現在サポートされています。
（BZ#727342）

* 「mod_proxy」、「mod_proxy_ajp」の AJP サポートモジュールが、現在は「ProxyErrorOverride」ディレクティブをサポートします。結果として、現在は AJP でアクセスされるバックエンドのサーバーで実行されている Web アプリケーションのエラーページをカスタマイズすることが可能です。（BZ#767890）

* 現在は、パッケージのアップグレード後に httpd サービスを自動的に再起動する「%posttrans」スクリプトレットを、無効にすることができます。ファイル /etc/sysconfig/httpd-disable-posttrans が存在すると、スクリプトレットがデーモンを再起動しません。（BZ#833042）

* 現在は、「httpd -S」の出力に、各仮想ホストの設定済みエイリアス名が含まれます。（BZ#833043）

* 新しい証明書変数の名前は、「_DN_userID」サフィックスを使用して「mod_ssl」で表示されます。たとえば、「SSL_CLIENT_S_DN_userID」などとなり、「userID」の共通オブジェクト識別子（OID）定義である OID 0.9.2342.19200300.100.1.1 を使用します。（BZ#840036）

これらの問題を修正し、これらの拡張機能を実装するためにも、httpd ユーザーはすべて、更新パッケージにアップグレードすることが推奨されています。

mod_negotiation モジュールで、入力サニタイズの欠陥が見つかりました。MultiViews オプションが有効化されているディレクトリに任意の名前を持つファイルのアップロードや作成を行うことができるリモートの攻撃者が、これらの欠陥を利用して、サイトにアクセスしているユーザーに対してクロスサイトスクリプティングおよび HTTP 応答分割の攻撃を行う可能性があります。（CVE-2008-0455、 CVE-2008-0456、CVE-2012-2687）

バグ修正：

- 以前は、「mod_ssl」パッケージに対して「%post」スクリプトを実行する前に、/etc/pki/tls/private/localhost.key ファイルが有効なキーであるかどうかをチェックしていませんでした。その結果、 /etc/pki/tls/certs/localhost.crt が存在しなくて、「localhost.key」が存在するが無効である場合、 mod_ssl で Apache HTTP Server デーモン（httpd）をアップグレードすることができませんでした。
 現在は、「%post」スクリプトが修正され、既存の SSL キーをテストします。その結果、現在では httpd を mod_ssl でアップグレードすると、期待通りの処理が行われるようになっています。

- 「mod_ssl」モジュールが、FIPS モードの操作をサポートしていませんでした。その結果、FIPS モードを有効にして、Scientific Linux 5 を動作させると、httpd を起動できませんでした。現在は、FIPS モードで動作させる場合に、上流のパッチを適用して、非 FIPS 機能性を無効にすると、 httpd を期待通りに起動できます。

- この更新が出る前は、httpd の終了ステータスコードに Linux Standard Base（LSB）との互換性がありませんでした。コマンド「service httpd reload」が実行されて、 httpd が失敗すると、返される終了ステータスコードは「0」であり、予期されていた 1 ～ 6 の範囲ではありませんでした。init スクリプトにパッチが適用され、現在では httpd が終了ステータスコードとして予期されていた通りの「1」を返すようになっています。

- チャンク転送のコーディングは RFC 2616 で説明されています。
 以前は、「チャンクのサイズ」または「チャンク拡張」の値が 32 バイト以上の場合、Apache サーバーがチャンクエンコードされた POST リクエストを適切に処理していませんでした。
 結果として、このような POST リクエストが作成されても、サーバーは応答していませんでした。現在は、上流のパッチが適用され、この問題は発生しなくなりました。

- 回帰のため、mod_cache がキャッシュできない 304 応答を受け取ると、間違ったヘッダーが提供されていました。その結果、キャッシュされたヘッダーがデータが圧縮されていることを表示することなく、圧縮されたデータがクライアントへ返されていました。上流のパッチが適用されて、キャッシュからのデータがクライアントへ提供される前に、応答とキャッシュされたヘッダーが結合されるようになっています。この結果、現在は、キャッシュされたデータがクライアントによって正しく解釈されています。

- プロキシの構成で、特定の応答行の文字列が適切に処理されていませんでした。「説明」文字列がない応答行が生成元サーバーから受信されると、「450」ステータスコードなどの非標準のステータスコードでは「500 Internal Server Error」がクライアントに返されます。このバグは修正され、現在では、生成元の応答行がクライアントに返されるようになっています。

強化点：

- 以前に導入された「LDAPChaseReferrals」に加えて、構成ディレクティブ「LDAPReferrals」が現在サポートされています。

- 「mod_proxy」、「mod_proxy_ajp」の AJP サポートモジュールが、現在は「ProxyErrorOverride」ディレクティブをサポートします。
 結果として、現在は AJP でアクセスされるバックエンドのサーバーで実行されている Web アプリケーションのエラーページをカスタマイズすることが可能です。

- 現在は、パッケージのアップグレード後に httpd サービスを自動的に再起動する「%posttrans」スクリプトレットを、無効にすることができます。ファイル /etc/sysconfig/httpd-disable-posttrans が存在すると、スクリプトレットがデーモンを再起動しません。

- 現在は、「httpd -S」の出力に、各仮想ホストの設定済みエイリアス名が含まれます。

- 新しい証明書変数の名前は、「_DN_userID」サフィックスを使用して「mod_ssl」で表示されます。たとえば、「SSL_CLIENT_S_DN_userID」などとなり、「userID」の共通オブジェクト識別子（OID）定義である OID 0.9.2342.19200300.100.1.1 を使用します。

リモートの Oracle Linux 5 ホストに、ELSA-2013-0130 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    - のセキュリティ修正を追加 CVE-2008-0456
    - のセキュリティ修正を追加します CVE-2012-2687#850794

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
63597	Scientific Linux 安全性更新：SL5.x i386/x86_64 上的 httpd	Nessus	Scientific Linux Local Security Checks	2013/1/17	2021/1/14	medium
68701	Oracle Linux 5httpd (ELSA-2013-0130)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2025/4/29	medium
64595	Fedora 17：httpd-2.2.23-1.fc17（2013-1661）	Nessus	Fedora Local Security Checks	2013/2/13	2021/1/11	medium
64761	RHEL 6 : httpd (RHSA-2013:0512)	Nessus	Red Hat Local Security Checks	2013/2/21	2025/4/15	medium
63575	CentOS 5：httpd（CESA-2013:0130）	Nessus	CentOS Local Security Checks	2013/1/17	2021/1/4	medium
63597	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の httpd	Nessus	Scientific Linux Local Security Checks	2013/1/17	2021/1/14	medium
68701	Oracle Linux 5httpdELSA-2013-0130	Nessus	Oracle Linux Local Security Checks	2013/7/12	2025/4/29	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium