バナーによると、リモートホストで実行されているlighttpdのバージョンは、1.4.34より前です。したがって、次の脆弱性の影響を受けます：

 - Server Name Indication (SNI)が有効化されている場合、アプリケーションに、脆弱な暗号を含む、すべての利用可能な SSL 暗号を使用させる欠陥が存在します。リモートの攻撃者が、セッションをハイジャックしたり、ネットワークを盗聴することで機密情報を取得したりする可能性があります。注意 : 1.4.24 から 1.4.33 までのバージョンのみ影響を受けます。(CVE-2013-4508)

 - setuid (1)、setgid (2)、segroups (3) 呼び出しなどのチェックに失敗するため、clang の静的アナライザーに欠陥が存在します。これにより、リモートの攻撃者が昇格した権限を取得する可能性があります。 (CVE-2013-4559)

 - FAM stat キャッシュエンジンが有効化されている際、clang の静的アナライザーに use-after-free エラーが存在します。これにより、リモートの攻撃者が、すでに解放したメモリを逆参照したり、プログラムをクラッシュさせたりする可能性があります。(CVE-2013-4560)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

PIE の最新上流、複数のセキュリティの修正でビルドできます。

http://www.lighttpd.net/2014/1/20/1-4-34/ 最新上流、複数のセキュリティの修正。

http://www.lighttpd.net/2014/1/20/1-4-34/

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Lighttpd セキュリティアドバイザリによるレポート：

不注意により、ssl.cipher-list 使用時に脆弱な暗号を有効化する可能性があります。

特定の場合において、setuid() や同類の関数が障害を起こし、lighttpd をルートで再起動する可能性があります。

FAMMonitorDirectory が障害を起こした場合、コンテキスト保存用メモリが解放され、そのコンテキスト内の「バージョン」コンポーネントより下の行が読み取られます。無効なデータの読み取りは問題ありませんが、メモリアクセスはセグメンテーション違反を引き起こす可能性があります。

更新済みの lighttpd パッケージで、以下のセキュリティの脆弱性が修正されます：

1.4.34 より前の lighttpd が、SNI が有効化されたときに、弱い SSL の暗号を構成します。これにより、リモートの攻撃者が、クライアントサーバーデータストリームにパケットを挿入することでセッションをハイジャックしたり、ネットワークを傍受することで機密情報を取得したりすることが簡単になります（CVE-2013-4508）。

1.4.34 より前の lighttpd で、環境によりユーザーが保有できるプロセスの数が制限されていて、ターゲット uid が既に制限に達している場合など、setuid() がなんらかの理由で失敗する場合、lighttpd は root として実行されます。CGI スクリプトを実行できるユーザーは、clone() を頻繁に実行する可能性があります：この場合、lighttpd 再起動は lighttpd を root として実行させることになり、CGI スクリプトも root として実行されます（CVE-2013-4559）。

1.4.34 より前の lighttpd で、fam が有効で、構成された doc のルートとエイリアスから到達できるディレクトリがあり、FAMMonitorDirectory がそこで失敗する場合、リモートクライアントが DoS を発生させる可能性があります（CVE-2013-4560）。

1.4.33 より前の lighttpd の use-after-free 脆弱性により、リモートの攻撃者が、FAMMonitorDirectory の失敗を発生させるベクトルを介して、サービス拒否（セグメンテーション違反およびクラッシュ）を引き起こす可能性があります。

SNI が有効の場合、1.4.34 より前の lighttpd は、リモートの攻撃者がクライアントサーバーのデータストリームへパケットを挿入してセッションをハイジャックしたり、ネットワークを盗聴ことで機密情報を取得する可能性がある脆弱な SSL 暗号を構成します。

1.4.33 より前の lighttpd は、(1) setuid、(2) setgid　または (3) setgroups 関数の戻り値をチェックしません。これにより、それが再起動し、リモートの攻撃者に権限昇格を許した場合、lighttpd をルートとして実行する可能性があります。これはユーザープロセスが制限へ達した場合に setuid を失敗させる クローン関数への複数の呼び出しにより実証されています。

lighttpd Web サーバーで、いくつかの脆弱性が発見されています。

クライアント証明書との SSL 接続が、lighttpd の DSA-2795-1 更新後に動作を停止することが判明しました。クライアント証明書検証のための適切な識別子を提供する Upstream パッチが適用されるようになりました。

- CVE-2013-4508 SNI（Server Name Indication）が有効になっている場合、lighttpd が弱い SSL 暗号を使用することが判明しました。この問題は、SNI が選択されている場合に、より強い SSL 暗号を確実に使用することで解決しました。

- CVE-2013-4559 lighttpd の setuid、setgid、および setgroups 呼び出しの欠落による権限昇格問題を発見するために、clang 静的アナライザーが使用されました。これらは適切にチェックされるようになりました。

- CVE-2013-4560 FAM stat キャッシュエンジンが有効になっている場合に、use-after-free 問題を発見するために clang 静的アナライザーが使用されました。これは現在修正されています。

- cve-2013-4508.patch と cve-2013-4508-regression-bug729480.patch が追加されました：（bnc#849059）ssl.cipher-list を定義する際、「デフォルト」の HTTPS 設定（$SERVER['socket'] 443 block）に対して機能しますが、SNI（$SERVER['socket'] ブロック内の $HTTP['host'] ブロック）を利用するとき、ssl.cipher-list は、ホストブロックに引き継がれないようで、その代わりに利用できる OpenSSL 暗号のすべてがデフォルトで含まれます（無効化されている場合、SSL v2/v3 ベースのものを除く）

- cve-2013-4559.patch が追加されました（bnc#850468）。setuid、setgid、setgroups が正常に実行されたかがチェックされます

- cve-2013-4560.patch が追加されました（bnc#850469）。FAM：use-after-free が修正されます

- cve-2013-4508.patch と cve-2013-4508-regression-bug729480.patch が追加されました：（bnc#849059）ssl.cipher-list を定義する際、「デフォルト」の HTTPS 設定（$SERVER['socket'] 443 block）に対して機能しますが、SNI（$SERVER['socket'] ブロック内の $HTTP['host'] ブロック）を利用するとき、ssl.cipher-list は、ホストブロックに引き継がれないようで、その代わりに利用できる OpenSSL 暗号のすべてがデフォルトで含まれます（無効化されている場合、SSL v2/v3 ベースのものを除く）

- cve-2013-4559.patch が追加されました（bnc#850468）。setuid、setgid、setgroups が正常に実行されたかがチェックされます

- cve-2013-4560.patch が追加されました（bnc#850469）。FAM：use-after-free が修正されます

- cve-2013-4508.patch と cve-2013-4508-regression-bug729480.patch が追加されました：（bnc#849059）ssl.cipher-list を定義する際、「デフォルト」の HTTPS 設定（$SERVER['socket'] 443 block）に対して機能しますが、SNI（$SERVER['socket'] ブロック内の $HTTP['host'] ブロック）を利用するとき、ssl.cipher-list は、ホストブロックに引き継がれないようで、その代わりに利用できる OpenSSL 暗号のすべてがデフォルトで含まれます（無効化されている場合、SSL v2/v3 ベースのものを除く）

- cve-2013-4559.patch が追加されました（bnc#850468）。setuid、setgid、setgroups が正常に実行されたかがチェックされます

- cve-2013-4560.patch が追加されました（bnc#850469）。FAM：use-after-free が修正されます

リモートホストは、GLSA-201406-10 で説明されている脆弱性の影響を受けます（lighttpd：複数の脆弱性）

lighttpd で複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者は、サービス拒否状態を引き起こす可能性があります。
 さらに、リモートの攻撃者が任意の SQL ステートメントを実行する可能性があります。
 回避策：

現時点で、既知の回避策はありません。

バナーによると、リモートホストで実行されているlighttpdのバージョンは、1.4.34より前です。したがって、次の脆弱性の影響を受けます：

  - Server Name Indication（SNI）が有効化されている場合、アプリケーションに、脆弱な暗号を含む、すべての利用可能な SSL 暗号を使用させる欠陥が存在します。リモートの攻撃者が、セッションをハイジャックしたり、ネットワークを盗聴することで機密情報を取得したりする可能性があります。
    注意：1.4.24 から 1.4.33 までのバージョンのみ影響を受けます。
    （CVE-2013-4508）

  - setuid (1)、setgid (2)、segroups (3) 呼び出しなどのチェックに失敗するため、clang の静的アナライザーに欠陥が存在します。これにより、リモートの攻撃者が昇格した権限を取得する可能性があります。（CVE-2013-4559）

  - FAM stat キャッシュエンジンが有効化されている際、clang の静的アナライザーに use-after-free エラーが存在します。
    これにより、リモートの攻撃者が、すでに解放したメモリを逆参照したり、プログラムをクラッシュさせたりする可能性があります。
    （CVE-2013-4560）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
112357	lighttpd < 1.4.34の複数の脆弱性	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
72651	Fedora 20：lighttpd-1.4.34-3.fc20（2014-2495）	Nessus	Fedora Local Security Checks	2014/2/24	2021/1/11	high
72494	FreeBSD：lighttpd -- 複数の脆弱性（90b27045-9530-11e3-9d09-000c2980a9f3）	Nessus	FreeBSD Local Security Checks	2014/2/14	2021/1/6	high
71031	Mandriva Linux セキュリティアドバイザリ：lighttpd（MDVSA-2013:277）	Nessus	Mandriva Local Security Checks	2013/11/22	2021/1/6	high
72947	Amazon Linux AMI：lighttpd（ALAS-2014-299）	Nessus	Amazon Linux Local Security Checks	2014/3/12	2018/4/18	high
70982	Debian DSA-2795-2：lighttpd - 複数の脆弱性	Nessus	Debian Local Security Checks	2013/11/21	2021/1/11	high
75389	openSUSE セキュリティ更新：lighttpd（openSUSE-SU-2014:0072-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
76062	GLSA-201406-10：lighttpd：複数の脆弱性	Nessus	Gentoo Local Security Checks	2014/6/16	2021/1/6	high
72652	Fedora 19：lighttpd-1.4.34-3.fc19（2014-2506）	Nessus	Fedora Local Security Checks	2014/2/24	2021/1/11	high
72815	lighttpd < 1.4.34の複数の脆弱性	Nessus	Web Servers	2014/3/5	2018/7/13	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high