リモートの MiracleLinux 3 ホストには、AXBA:2008-331:03 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Apache 2.0.63 以前の mod_proxy_ftp モジュールの proxy_ftp.c 、および Apache 2.2.9 以前の 2.2 バージョンの mod_proxy_ftp モジュールの mod_proxy_ftp.c におけるクロスサイトスクリプティングXSSの脆弱性により、リモートの攻撃者が任意の Web スクリプトを注入する可能性があります。または HTML の前に、FTP URI のパス名の最後のディレクトリコンポーネントにあるワイルドカードを使用して、CVE-2008-2939

  - Apache HTTP Server 2.0.63 および 2.2.8 の mod_proxy モジュールの mod_proxy_http.c の ap_proxy_http_process_response 関数が、転送される暫定応答の数を制限していません。これにより、リモート HTTP サーバーが、暫定応答の最大数
    (CVE-2008-2364)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの MiracleLinux 3 ホストには、AXSA:2008-483:04 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    Apache HTTP サーバーは、強力かつ効率的で拡張性のある Web サーバーです。
    修正されたバグ：
    CVE-2008-2364 Apache HTTP Server 2.0.63 および 2.2.8 の mod_proxy モジュールの mod_proxy_http.c の ap_proxy_http_process_response 関数が、転送される暫定応答の数を制限しません。これにより、リモート HTTP サーバーが、多数の暫定応答。
    CVE-2008-2939 Apache 2.0.63 以前の mod_proxy_ftp モジュールの proxy_ftp.c におけるクロスサイトスクリプティングXSSの脆弱性、および Apache 2.2.9 以前 [ 2.2 バージョンの mod_proxy_ftp モジュールの mod_proxy_ftp.c により、リモートの攻撃者が任意の Web を注入する可能性があります。リモートの攻撃者が、FTP URI のパス名の最後のディレクトリコンポーネントにあるワイルドカードを介して、スクリプトまたは HTML を送信する可能性があります。

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

バナーによると、リモートホストにインストールされている Apache 2.0 のバージョンは 2.0.64 より前です。このようなバージョンは、以下を含むいくつかの問題の影響を受けることがあります。

  - パスセグメントがないリクエストの処理に、未特定のエラーがあります。（CVE-2010-1452）

  - 「mod_deflate」などのいくつかのモジュールが、サービス拒否攻撃に脆弱です。これは、クライアントが接続を解除した後に、大きなファイルを圧縮するために CPU 時間を使用すように強制されるためです。（CVE-2009-1891）

  - 「mod_proxy」に、認証情報のフィルタリングに関連する未特定のエラーがあります。 
    （CVE-2009-3095）
 
  - 「mod_proxy_ftp」の一部のエラー処理パスに、NULL ポインターデリファレンス問題があります。
    （CVE-2009-3094）

  - 「mod_ssl」にエラーがあり、これによってサーバーが、TLS の再ネゴシエーションのプリフィックス注入攻撃に脆弱になります。（CVE-2009-3555）

  - 親リクエストヘッダーが破損している可能性があるサブリクエストの処理に、エラーがあります。
    （CVE-2010-0434）

  - 過剰な量の暫定レスポンスを処理するときに、「mod_proxy_http」にエラーがあります。これにより、サービス拒否攻撃に脆弱になります。（CVE-2008-2364）

  - 「mod_isapi」に存在するエラーにより、モジュールのアンロードが早すぎて、コールバックポインターが孤立したままになります。（CVE-2010-0425）

  - FTP URL でワイルドカードが使用されるときに「mod_proxy_ftp」でエラーが発生し、これによってクロスサイトスクリプティング攻撃が可能になります。（CVE-2008-2939）

リモート Web サーバーは、実際にはこれらの脆弱性の影響を受けない可能性があることに、注意してください。Nessus では、影響を受けているモジュールが使用されているかの確認、および問題自体の確認は試みていません。

そのバナーによると、リモートホストにインストールされているバージョンの Oracle HTTP Server は、複数の脆弱性の影響を受けます。

注意：Nessus は、パッチまたは回避策が適用されているかどうかを検証しませんでした。

mod_proxy Apache モジュールに欠陥が見つかりました。リクエストがプロキシされている Web サーバーをコントロールしている攻撃者が、 CPU の消費とスタックの枯渇による限定的なサービス拒否を引き起こすことが可能です。（CVE-2008-2364）

mod_proxy_ftp Apache モジュールに欠陥が見つかりました。Apache が FTP-over-HTTP プロキシをサポートするよう構成された場合、リモートの攻撃者がクロスサイトスクリプティング攻撃を仕掛けることが可能です。（CVE-2008-2939）

また、これらの更新済みパッケージは、Scientific Linux 4 httpd パッケージにおける「ProxyRemoteMatch」ディレクティブの処理で見つかったバグを修正します。このバグは、Scientific Linux 3 または Scientific Linux 5 パッケージには存在しません。

Red Hat セキュリティアドバイザリ 2008:0967 から：

いくつかのセキュリティ問題と 1 つのバグを修正する更新済みの httpd パッケージが Red Hat Enterprise Linux 3、4、5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

Apache HTTP Server は人気のある Web サーバーです。

mod_proxy Apache モジュールに欠陥が見つかりました。リクエストがプロキシされている Web サーバーをコントロールしている攻撃者が、 CPU の消費とスタックの枯渇による限定的なサービス拒否を引き起こすことが可能です。(CVE-2008-2364)

mod_proxy_ftp Apache モジュールに欠陥が見つかりました。Apache が FTP-over-HTTP プロキシをサポートするよう構成された場合、リモートの攻撃者がクロスサイトスクリプティング攻撃を仕掛けることが可能です。(CVE-2008-2939)

さらに、これらの更新済みパッケージは、Red Hat Enterprise Linux 4 httpd パッケージの「ProxyRemoteMatch」ディレクティブの処理で見つかったバグを修正します。このバグは、Red Hat Enterprise Linux 3 または Red Hat Enterprise Linux 5 パッケージには存在しません。

httpd のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。

バナーによると、リモートホストにインストールされている Apache 2.2 のバージョンは 2.2.9 より前です。そのようなバージョンは、以下を含むいくつかの問題の影響を受けることがあります。

  - 転送された過度の一時的応答の不適切な取り扱いにより、mod_proxy_http でサービス拒否状態が発生することがあります。（CVE-2008-2364）

  - mod_proxy_balancer のバランサ/マネージャインターフェイスでのクロスサイトリクエストフォージェリ脆弱性。
    （CVE-2007-6420）

リモート Web サーバーは、実際にはこれらの脆弱性の影響を受けない可能性があることに、注意してください。Nessus は、影響を受けるモジュールが使用されているか、または問題そのものを確認しようとしませんでした。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
291384	MiracleLinux 3httpd-2.2.3-11.4.1AXS3AXBA:2008-331:03	Nessus	Miracle Linux Local Security Checks	2026/1/19	2026/1/19	medium
284435	MiracleLinux 3httpd-2.2.3-11.4.1AXS3AXSA:2008-483:04	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	medium
50069	Apache 2.0 < 2.0.64 の複数の脆弱性	Nessus	Web Servers	2010/10/20	2018/6/29	high
69301	Oracle Fusion Middleware Oracle HTTP Server 複数の脆弱性	Nessus	Web Servers	2013/8/11	2018/11/15	critical
60493	Scientific Linux セキュリティ更新：SL3.x、SL4.x、SL5.x i386/x86_64 の httpd	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
67760	Oracle Linux 3/4/5：httpd（ELSA-2008-0967）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	medium
33477	Apache < 2.2.9 の複数の脆弱性（DoS、XSS）	Nessus	Web Servers	2008/7/11	2018/6/29	medium

検出

プラグインの検索

medium

medium

high

critical

medium

medium

medium