リモートのMiracleLinux 4ホストには、AXSA:2017-2391:05アドバイザリに記載されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    * httpdが無効な未登録のHTTPメソッド（.htaccessファイルで使用されるLimitディレクティブで指定されている）を処理する方法に、メモリ解放後使用（Use After Free）の欠陥があることがわかりました。リモートの攻撃者がこの欠陥を利用し、サーバーメモリの一部漏えいしたり、httpdの子プロセスをクラッシュさせたりする可能性があります。
    (CVE-2017-9798)
      * httpdのAsianux Server 6.9 バージョンで回帰が見つかりました。構成行の許可と拒否のコメントが不適切に解析されます。Web 管理者が、権限のない HTTP リソースへのクライアントのアクセスを意図せずに許可する可能性があります。CVE-2017-12171asianux は、 CVE-2017-9798 を報告してくれた Hanno Bck 氏と、 CVE-2017-12171を報告してくれた KAWAHARA Masashi 氏に感謝の意を表します。
    CVE-2017-12171
    **予約**この候補は、新しいセキュリティの問題を発表するときに、それを使う組織または個人によって予約されています。候補が公表されるときに、この候補の詳細が提供されます。
    CVE-2017-9798 Apache httpdでは、Limitディレクティブがユーザーの.htaccessファイルで設定されている場合、またはhttpd.confに特定の構成ミスがある場合別名Optionsbleedを使用して、リモートの攻撃者がプロセスメモリから秘密データを読み取る可能性があります。これは、2.2.34までおよび2.4.xから2.4.27までのApache HTTP Serverに影響を与えます。
    攻撃者は秘密のデータを読み取ろうとするときに、認証されていないOPTIONS HTTPリクエストを送信します。これはメモリ解放後使用（Use After Free）の問題であるため、秘密のデータが常に送信されるわけではなく、特定のデータは設定などの多くの要因に依存します。.htaccessの悪用は、server/core.c内のap_limit_section関数に対するパッチによってブロックできる可能性があります。

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

httpdの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。httpdパッケージにより、強力で効率の良い、拡張可能なWebサーバーである、Apache HTTPサーバーが提供されます。セキュリティ修正プログラム：* httpdが無効な未登録のHTTPメソッド（.htaccessファイルで使用されるLimitディレクティブで指定されている）を処理する方法に、メモリ解放後使用（use-after-free）の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用し、サーバーメモリの一部漏えいしたり、httpdの子プロセスをクラッシュさせたりする可能性があります。（CVE-2017-9798）* httpdのRed Hat Enterprise Linux 6.9バージョンで回帰が見つかりました。構成行の「許可」と「拒否」のコメントが正しく解析されません。Web管理者が、意図せずにどのクライアントにも制限付きHTTPリソースへのアクセスを許可する可能性があります。（CVE-2017-12171）Red HatはCVE-2017-9798の報告に対してHanno Bock氏に、CVE-2017-12171の報告に対してKAWAHARA Masashi氏に感謝の意を表します。

ハッシュ（#）文字がすべてのIPに適合します：回帰がhttpdで検出され、「許可」および「拒否」設定行のコメントが不適切に解析されます。Web管理者が、意図せずにどのクライアントにも制限付きHTTPリソースへのアクセスを許可する可能性があります。（CVE-2017-12171）

出典: Red Hatセキュリティアドバイザリ2017:2972:thhpdの更新がRed Hat Enterprise Linux 6用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。httpdパッケージにより、強力で効率の良い、拡張可能なWebサーバーである、Apache HTTPサーバーが提供されます。セキュリティ修正プログラム：* httpdが無効な未登録のHTTPメソッド（.htaccessファイルで使用されるLimitディレクティブで指定されている）を処理する方法に、メモリ解放後使用（use-after-free）の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用し、サーバーメモリの一部漏えいしたり、httpdの子プロセスをクラッシュさせたりする可能性があります。（CVE-2017-9798）* httpdのRed Hat Enterprise Linux 6.9バージョンで回帰が見つかりました。構成行の「許可」と「拒否」のコメントが正しく解析されません。Web管理者が、意図せずにどのクライアントにも制限付きHTTPリソースへのアクセスを許可する可能性があります。（CVE-2017-12171）Red HatはCVE-2017-9798の報告に対してHanno Bock氏に、CVE-2017-12171の報告に対してKAWAHARA Masashi氏に感謝の意を表します。

セキュリティ修正プログラム:

  - httpdが無効な未登録のHTTPメソッド（.htaccessファイルで使用されるLimitディレクティブで指定されている）を処理する方法に、メモリ解放後使用（Use After Free）の欠陥があることがわかりました。リモートの攻撃者がこの欠陥を利用し、サーバーメモリの一部漏洩したり、httpdの子プロセスをクラッシュさせたりする可能性があります。（CVE-2017-9798）

  - httpdのScientific Linux 6.9バージョンでリグレッションが見つかりました。構成行の「許可」と「拒否」のコメントが正しく解析されません。Web管理者が、意図せずにどのクライアントにも制限付きHTTPリソースへのアクセスを許可する可能性があります。（CVE-2017-12171）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
290066	MiracleLinux 4httpd-2.2.15-60.6.0.1.AXS4AXSA:2017-2391:05	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	high
104006	RHEL 6：httpd（RHSA-2017:2972）（Optionsbleed）	Nessus	Red Hat Local Security Checks	2017/10/20	2024/11/5	high
104053	CentOS 6：httpd（CESA-2017:2972）（Optionsbleed）	Nessus	CentOS Local Security Checks	2017/10/23	2025/11/18	high
104395	Amazon Linux AMI：httpd（ALAS-2017-921）	Nessus	Amazon Linux Local Security Checks	2017/11/6	2025/11/14	medium
104002	Oracle Linux 6：httpd（ELSA-2017-2972）（Optionsbleed）	Nessus	Oracle Linux Local Security Checks	2017/10/20	2024/10/22	high
104007	Scientific Linux セキュリティ更新: SL6.x i386/x86_64のhttpd（20171019）（Optionsbleed）	Nessus	Scientific Linux Local Security Checks	2017/10/20	2025/11/18	high

検出

プラグインの検索

high

high

high

medium

high

high