Red Hat セキュリティアドバイザリ 2008:0005 から：

いくつかのセキュリティ問題を修正する更新済みの Apache httpd パッケージが Red Hat Enterprise Linux 3 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

Apache HTTP Server は人気のある Web サーバーです。

mod_imap モジュールに欠陥が見つかりました。mod_imap が有効であり、 imagemap ファイルが公開されているサイトで、クロスサイトスクリプティング攻撃の実行が可能でした。(CVE-2007-5000)

mod_autoindex モジュールに欠陥が見つかりました。ディレクトリリスト表示が使用され、「AddDefaultCharset」ディレクティブが構成から削除されているサイトでは、RFC 2616 の規則に従った応答文字セットを正しく抽出していない Web ブラウザを対象に、クロスサイトスクリプティング攻撃が可能でした。
(CVE-2007-4465)

mod_proxy モジュールに欠陥が見つかりました。リバースプロキシが構成されているサイトでは、リモートの攻撃者が注意深く作られたリクエストを送信し、そのためにそのリクエストを処理する Apache 子プロセスがクラッシュする可能性があります。ユーザーが騙されてプロキシを使用して悪意のあるサイトにアクセスした場合、フォワードプロキシが構成されているサイト上で、攻撃者が同様のクラッシュを発生させる可能性があります。これにより、スレッド化したマルチプセッシングモジュールを使用した場合にサービス拒否が発生する可能性があります。(CVE-2007-3847)

mod_status モジュールに欠陥が見つかりました。mod_status が有効であり、ステータスページのファイルが公開されているサイト上で、クロスサイトスクリプティング攻撃が可能でした。(CVE-2007-6388)

mod_proxy_ftp モジュールに欠陥が見つかりました。mod_proxy_ftp が有効でありフォワードプロキシが設定されているサイト上で、RFC 2616 のルールに従って設定された応答文字セットを正しく抽出しない Web ブラウザ上で、クロスサイトスクリプティング攻撃が可能でした。(CVE-2008-0005)

Apache httpd のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。ユーザーはこの更新のインストール後、httpd を再起動する必要があります。

Red Hat Network Proxy Server バージョン 5.0.2 が利用可能になりました。この更新には、Red Hat Network Proxy Server コンポーネントのセキュリティ問題に対する多数の修正が含まれています。

この更新は、Red Hat セキュリティレスポンスチームによりセキュリティインパクトが小さいと評価されています。

Red Hat Network Proxy Server 5.0.2 リリースでは、出荷されている複数のコンポーネントにおけるセキュリティの脆弱性が複数修正されています。通常の運用環境では、これらのコンポーネントが Proxy Server のユーザーを、脆弱性にさらすことはありません。これらのセキュリティの更新により、 Proxy Server の固有の環境に対するリスクが減少しました。

Apache HTTPD server の複数の欠陥が修正されました。これらの欠陥により、クロスサイトスクリプティングまたはサービス拒否攻撃が引き起こされる可能性があります。
（CVE-2007-6388、CVE-2007-5000、CVE-2007-3304、 CVE-2006-5752）

サービス拒否の欠陥が mod_perl で修正されました。(CVE-2007-1349)

jabberd サーバーにおけるサービス拒否の欠陥が修正されました。
(CVE-2006-1329)

Red Hat Network Proxy Server 5.0 のユーザーは、これらの問題を解決する 5.0.2 にアップグレードすることが推奨されます。

バナーによると、リモートホストにインストールされている Apache 1.3 のバージョンは 1.3.41 より前です。そのようなバージョンは、以下を含むいくつかの問題の影響を受けることがあります。

  - 日付関連ヘッダーを解析する際の、mod_proxy でのサービス拒否問題。（CVE-2007-3847）

mod_imap に関わるクロスサイトスクリプティング問題。
    （CVE-2007-5000）

  - mod_status での、リフレッシュパラメータに関わるクロスサイトスクリプティング問題。（CVE-2007-6388）

  - 文字セットが定義されないため、mod_proxy_ftp で UTF-7 エンコードを使用するクロスサイトスクリプティング問題があります。（CVE-2008-0005）

リモート Web サーバーは、実際にはこれらの脆弱性の影響を受けない場合があることに、注意してください。Nessus は、影響を受けるモジュールが使用されているか、または問題そのものを確認しようとしませんでした。

Red Hat セキュリティアドバイザリ 2008:0006 から：

いくつかのセキュリティ問題を修正する更新済みの Apache httpd パッケージが Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

Apache HTTP Server は人気のある Web サーバーです。

mod_imap モジュールに欠陥が見つかりました。mod_imap が有効であり、 imagemap ファイルが公開されているサイトで、クロスサイトスクリプティング攻撃の実行が可能でした。(CVE-2007-5000)

mod_autoindex モジュールに欠陥が見つかりました。ディレクトリリスト表示が使用されているサイトでは、「AddDefaultCharset」ディレクティブが構成から削除され、RFC 2616 の規則に従った応答文字セットを正しく抽出していない Web ブラウザを対象に、クロスサイトスクリプティング攻撃が可能でした。
(CVE-2007-4465)

mod_status モジュールに欠陥が見つかりました。mod_status が有効であり、ステータスページのファイルが公開されているサイト上で、クロスサイトスクリプティング攻撃が可能でした。(CVE-2007-6388)

mod_proxy_ftp モジュールに欠陥が見つかりました。mod_proxy_ftp が有効でありフォワードプロキシが設定されているサイト上で、RFC 2616 のルールに従って設定された応答文字セットを正しく抽出しない Web ブラウザ上で、クロスサイトスクリプティング攻撃が可能でした。(CVE-2008-0005)

Apache httpd のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。ユーザーはこの更新のインストール後、httpd を再起動する必要があります。

そのバナーによると、リモートホストにインストールされているバージョンの Oracle HTTP Server は、複数の脆弱性の影響を受けます。

注意：Nessus は、パッチまたは回避策が適用されているかどうかを検証しませんでした。

Red Hat セキュリティアドバイザリ 2008:0008 から：

いくつかのセキュリティ問題を修正する更新済みの Apache httpd パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

Apache HTTP Server は人気のある Web サーバーです。

mod_imagemap モジュールに欠陥が見つかりました。mod_imagemap が有効であり、 magemap ファイルが公開されているサイト上で、クロスサイトスクリプティング攻撃が可能でした。(CVE-2007-5000)

mod_autoindex モジュールに欠陥が見つかりました。ディレクトリリスティングが使用され、「AddDefaultCharset」ディレクティブが構成から削除されているサイト上で、RFC 2616 のルールに従った応答文字セットを正しく抽出しない Web ブラウザに対してクロスサイトスクリプティング攻撃が行われる可能性があります。
(CVE-2007-4465)

mod_status モジュールに欠陥が見つかりました。mod_status が有効であり、ステータスページのファイルが公開されているサイト上で、クロスサイトスクリプティング攻撃が可能でした。(CVE-2007-6388)

mod_proxy_balancer モジュールに欠陥が見つかりました。mod_proxy_balancer が有効なサイト上で、権限があるユーザーに対するクロスサイトスクリプティング攻撃が可能でした。(CVE-2007-6421)

mod_proxy_balancer モジュールに欠陥が見つかりました。mod_proxy_balancer が有効なサイト上で、権限があるユーザーは、注意深く細工されたリクエストを送信し、そのリクエストを処理する Apache 子プロセスをクラッシュさせる可能性があります。これにより、スレッド化したマルチプセッシングモジュールを使用した場合にサービス拒否が発生する可能性があります。(CVE-2007-6422)

mod_proxy_ftp モジュールに欠陥が見つかりました。mod_proxy_ftp が有効でありフォワードプロキシが設定されているサイト上で、RFC 2616 のルールに従って設定された応答文字セットを正しく抽出しない Web ブラウザ上で、クロスサイトスクリプティング攻撃が可能でした。(CVE-2008-0005)

Apache httpd のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。ユーザーはこの更新のインストール後、httpd を再起動する必要があります。

Red Hat Network Proxy Server バージョン 4.2.3 が利用可能になりました。この更新には、Red Hat Network Proxy Server コンポーネントのセキュリティ問題に対する多数の修正が含まれています。

この更新は、Red Hat セキュリティレスポンスチームによりセキュリティインパクトが小さいと評価されています。

Red Hat Network Proxy Server 4.2.3 リリースでは、出荷されている複数のコンポーネントにおけるセキュリティの脆弱性が複数修正されています。通常の運用環境では、これらのコンポーネントが Proxy Server のユーザーを、脆弱性にさらすことはありません。これらのセキュリティの更新により、 Proxy Server の固有の環境に対するリスクが減少しました。

Apache HTTPD server の複数の欠陥が修正されました。これらの欠陥により、クロスサイトスクリプティングまたはサービス拒否攻撃が引き起こされる可能性があります。
（CVE-2007-6388、CVE-2007-5000、CVE-2007-4465、CVE-2007-3304、CVE-2006-5752、CVE-2006-3918、CVE-2005-3352）

サービス拒否の欠陥が mod_perl で修正されました。(CVE-2007-1349)

mod_ssl における複数の欠陥。（CVE-2004-0488、 CVE-2004-0700、CVE-2004-0885）

jabberd サーバーにおけるサービス拒否の欠陥が修正されました。
(CVE-2006-1329)

Red Hat Network Proxy Server 4.2 のユーザーは、これらの問題を解決する 4.2.3 にアップグレードすることが推奨されます。

Red Hat Network Satellite Server バージョン 5.0.2 が利用可能になりました。この更新には、Red Hat Network Satellite Server コンポーネントのセキュリティ問題に対する多数の修正が含まれています。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

内部セキュリティレビューの中で、クロスサイトスクリプティングの欠陥が見つかり、Red Hat Network チャネル検索機能に影響を及ぼします。
（CVE-2007-5961）

このリリースでは、Red Hat Network Satellite Server の一部として出荷された各種コンポーネントのいくつかのセキュリティ脆弱性が修正されています。通常の運用環境では、これらのコンポーネントにより Satellite サーバーのユーザーが脆弱性にさらされることはありません。これらのセキュリティの更新により、Satellite サーバーの固有の環境に対するリスクが軽減します。

Apache HTTPD server の複数の欠陥が修正されました。これらの欠陥により、クロスサイトスクリプティング、サービス拒否、情報漏洩などの攻撃が引き起こされる可能性があります。（CVE-2004-0885、CVE-2006-5752、CVE-2006-7197、CVE-2007-1860、CVE-2007-3304、CVE-2007-4465、CVE-2007-5000、CVE-2007-6388）

サービス拒否の欠陥が mod_perl で修正されました。（CVE-2007-1349）

jabberd サーバーにおけるサービス拒否の欠陥が修正されました。
（CVE-2006-1329）

JFreeChart パッケージのイメージマップ機能における、複数のクロスサイトスクリプティング欠陥が修正されました。（CVE-2007-6306）

IBM Java 1.4.2 Runtime における複数の欠陥が修正されました。
（CVE-2007-0243、CVE-2007-2435、CVE-2007-2788、 CVE-2007-2789）

2 つの任意のコード実行の欠陥が OpenMotif パッケージで修正されました。（CVE-2005-3964、CVE-2005-0605）

脆弱な暗号化が発生する欠陥が、perl-Crypt-CBC パッケージで修正されました。（CVE-2006-0898）

Tomcat パッケージの複数の欠陥が修正されました。（CVE-2008-0128、CVE-2007-5461、CVE-2007-3385、CVE-2007-3382、CVE-2007-1358、CVE-2007-1355、CVE-2007-2450、CVE-2007-2449、CVE-2007-0450、CVE-2006-7196、CVE-2006-7195、CVE-2006-3835、CVE-2006-0254、CVE-2005-2090、CVE-2005-4838、CVE-2005-3510）

Red Hat Network Satellite Server 5.0 のユーザーは、これらの問題を解決する 5.0.2 にアップグレードすることが推奨されます。

いくつかのセキュリティ問題を修正する更新済みの Apache httpd パッケージが Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

Apache HTTP Server は人気のある Web サーバーです。

mod_imagemap モジュールに欠陥が見つかりました。mod_imagemap が有効であり、 magemap ファイルが公開されているサイト上で、クロスサイトスクリプティング攻撃が可能でした。（CVE-2007-5000）

mod_autoindex モジュールに欠陥が見つかりました。ディレクトリリスティングが使用され、「AddDefaultCharset」ディレクティブが構成から削除されているサイト上で、RFC 2616 のルールに従った応答文字セットを正しく抽出しない Web ブラウザに対してクロスサイトスクリプティング攻撃が行われる可能性があります。
（CVE-2007-4465）

mod_status モジュールに欠陥が見つかりました。mod_status が有効であり、ステータスページのファイルが公開されているサイト上で、クロスサイトスクリプティング攻撃が可能でした。（CVE-2007-6388）

mod_proxy_balancer モジュールに欠陥が見つかりました。mod_proxy_balancer が有効なサイト上で、権限があるユーザーに対するクロスサイトスクリプティング攻撃が可能でした。（CVE-2007-6421）

mod_proxy_balancer モジュールに欠陥が見つかりました。mod_proxy_balancer が有効なサイト上で、権限があるユーザーは、注意深く細工されたリクエストを送信し、そのリクエストを処理する Apache 子プロセスをクラッシュさせる可能性があります。これにより、スレッド化したマルチプセッシングモジュールを使用した場合にサービス拒否が発生する可能性があります。（CVE-2007-6422）

mod_proxy_ftp モジュールに欠陥が見つかりました。mod_proxy_ftp が有効でありフォワードプロキシが設定されているサイト上で、RFC 2616 のルールに従って設定された応答文字セットを正しく抽出しない Web ブラウザ上で、クロスサイトスクリプティング攻撃が可能でした。（CVE-2008-0005）

Apache httpd のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。ユーザーはこの更新のインストール後、httpd を再起動する必要があります。

mod_proxy モジュールに欠陥が見つかりました。リバースプロキシが構成されているサイトでは、リモートの攻撃者が注意深く作られたリクエストを送信し、そのためにそのリクエストを処理する Apache 子プロセスがクラッシュする可能性があります。ユーザーが騙されてプロキシを使用して悪意のあるサイトにアクセスした場合、フォワードプロキシが構成されているサイト上で、攻撃者が同様のクラッシュを発生させる可能性があります。これにより、スレッド化したマルチプセッシングモジュールを使用した場合にサービス拒否が発生する可能性があります。（CVE-2007-3847）

mod_autoindex モジュールに欠陥が見つかりました。ディレクトリリスティングが使用され、「AddDefaultCharset」ディレクティブが構成から削除されているサイト上で、RFC 2616 のルールに従った応答文字セットを正しく抽出しない Web ブラウザに対してクロスサイトスクリプティング攻撃が行われる可能性があります。
（CVE-2007-4465）

mod_imagemap モジュールに欠陥が見つかりました。mod_imagemap が有効であり、 magemap ファイルが公開されているサイト上で、クロスサイトスクリプティング攻撃が可能でした。（CVE-2007-5000）

mod_status モジュールに欠陥が見つかりました。mod_status が有効であり、ステータスページのファイルが公開されているサイト上で、クロスサイトスクリプティング攻撃が可能でした。（CVE-2007-6388）

mod_proxy_balancer モジュールに欠陥が見つかりました。mod_proxy_balancer が有効なサイト上で、権限があるユーザーに対するクロスサイトスクリプティング攻撃が可能でした。（CVE-2007-6421）

mod_proxy_balancer モジュールに欠陥が見つかりました。mod_proxy_balancer が有効なサイト上で、権限があるユーザーは、注意深く細工されたリクエストを送信し、そのリクエストを処理する Apache 子プロセスをクラッシュさせる可能性があります。これにより、スレッド化したマルチプセッシングモジュールを使用した場合にサービス拒否が発生する可能性があります。（CVE-2007-6422）

mod_proxy_ftp モジュールに欠陥が見つかりました。mod_proxy_ftp が有効でありフォワードプロキシが設定されているサイト上で、RFC 2616 のルールに従って設定された応答文字セットを正しく抽出しない Web ブラウザ上で、クロスサイトスクリプティング攻撃が可能でした。（CVE-2008-0005）

バナーによると、リモートホストにインストールされている Apache 2.2 のバージョンは 2.2.8 より前です。そのようなバージョンは、以下を含むいくつかの問題の影響を受けることがあります。

  - mod_imagemap に関わるクロスサイトスクリプティング問題（CVE-2007-5000）。

  - 不正な形式の HTTP メソッドによる 413 エラーページに関わるクロスサイトスクリプティング問題（PR 44014 / CVE-2007-6203）。

  - リフレッシュパラメーターに関わる mod_status のクロスサイトスクリプティング問題（CVE-2007-6388）。

  - バランサマネージャのワーカールートおよびワーカーリダイレクト文字列に関する mod_proxy_balancer のクロスサイトスクリプティング問題（CVE-2007-6421）。

  - mod_proxy_balancer での balancer_handler 関数のサービス拒否問題は、スレッドされた複数処理モジュールが使用されるとき、認証されたユーザーによってトリガできます（CVE-2007-6422）。

  - mod_proxy_ftp は文字セットを定義しないため、mod_proxy_ftp に、UTF-7 エンコードを使用するクロスサイトスクリプティング問題があります（CVE-2008-0005）。

リモート Web サーバーは、実際にはこれらの脆弱性の影響を受けない場合があることに、注意してください。Nessus は、影響を受けるモジュールが使用されているか、または問題そのものを確認しようとしませんでした。

バナーによると、リモートホストにインストールされている Apache 2.0 のバージョンは 2.0.63 より前です。そのようなバージョンは、以下を含むいくつかの問題の影響を受けることがあります。

  mod_imap に関わるクロスサイトスクリプティング問題。
    （CVE-2007-5000）

  - 不正な形式の HTTP メソッドによる 413 エラーページに関わるクロスサイトスクリプティング問題。（PR 44014 / CVE-2007-6203）

  - リフレッシュパラメータに関わる mod_status クロスサイトスクリプティング問題。（CVE-2007-6388）

  - 文字セットが定義されないため、mod_proxy_ftp で UTF-7 エンコードを使用するクロスサイトスクリプティング問題があります。（CVE-2008-0005）

リモート Web サーバーは、実際にはこれらの脆弱性の影響を受けない場合があることに、注意してください。Nessus は、影響を受けるモジュールが使用されているか、または問題そのものを確認しようとしませんでした。

Red Hat Network Satellite Server バージョン 4.2.3 が利用可能になりました。この更新には、Red Hat Network Satellite Server コンポーネントのセキュリティ問題に対する多数の修正が含まれています。

この更新は、Red Hat セキュリティレスポンスチームによりセキュリティインパクトが小さいと評価されています。

このリリースでは、Red Hat Network Satellite Server 4.2 の一部として出荷された各種コンポーネントのいくつかのセキュリティ脆弱性が修正されています。通常の運用環境では、これらのコンポーネントにより Satellite サーバーのユーザーが脆弱性にさらされることはありません。これらのセキュリティの更新により、Satellite サーバーの固有の環境に対するリスクが軽減します。

Apache HTTPD server の複数の欠陥が修正されました。これらの欠陥により、クロスサイトスクリプティング、サービス拒否、情報漏洩などの攻撃が引き起こされる可能性があります。（CVE-2004-0885、CVE-2006-5752、CVE-2006-7197、CVE-2007-1860、CVE-2007-3304、CVE-2007-4465、CVE-2007-5000、CVE-2007-6388）

サービス拒否の欠陥が mod_perl で修正されました。（CVE-2007-1349）

jabberd サーバーにおけるサービス拒否の欠陥が修正されました。
（CVE-2006-1329）

JFreeChart パッケージのイメージマップ機能における、複数のクロスサイトスクリプティング欠陥が修正されました。（CVE-2007-6306）

IBM Java 1.4.2 Runtime における複数の欠陥が修正されました。
（CVE-2007-0243、CVE-2007-2435、CVE-2007-2788、 CVE-2007-2789）

OpenMotif パッケージの複数の欠陥が修正されました。（CVE-2004-0687、CVE-2004-0688、CVE-2004-0914、 CVE-2005-3964、CVE-2005-0605）

脆弱な暗号化が発生する欠陥が、perl-Crypt-CBC パッケージで修正されました。（CVE-2006-0898）

Tomcat パッケージの複数の欠陥が修正されました。（CVE-2008-0128、CVE-2007-5461、CVE-2007-3385、CVE-2007-3382、CVE-2007-1358、CVE-2007-1355、CVE-2007-2450、CVE-2007-2449、CVE-2007-0450、CVE-2006-7196、CVE-2006-7195、CVE-2006-3835、CVE-2006-0254、CVE-2005-2090、CVE-2005-4838、CVE-2005-3510）

Red Hat Network Satellite Server 4.2 のユーザーは、これらの問題を解決する 4.2.3 にアップグレードすることが推奨されます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
67631	Oracle Linux 3：httpd（ELSA-2008-0005）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
63853	RHEL 4：Proxy Server（RHSA-2008:0263）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	medium
31408	Apache < 1.3.41 の複数の脆弱性（DoS、XSS）	Nessus	Web Servers	2008/3/7	2018/11/15	medium
67632	Oracle Linux 4：httpd（ELSA-2008-0006）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
69301	Oracle Fusion Middleware Oracle HTTP Server 複数の脆弱性	Nessus	Web Servers	2013/8/11	2018/11/15	critical
67633	Oracle Linux 5：httpd（ELSA-2008-0008）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
63857	RHEL 3/4：Proxy Server（RHSA-2008:0523）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
43835	RHEL 4：Satellite サーバー（RHSA-2008:0261）	Nessus	Red Hat Local Security Checks	2010/1/10	2021/1/14	critical
43666	CentOS 5：httpd（CESA-2008:0008）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	medium
60345	Scientific Linux セキュリティ更新：SL3.x、SL4.x、SL5.x i386/x86_64 の httpd	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
31118	Apache < 2.2.8 の複数の脆弱性（XSS、DoS）	Nessus	Web Servers	2008/2/20	2018/6/29	medium
31407	Apache < 2.0.63 の複数の XSS 脆弱性	Nessus	Web Servers	2008/3/7	2018/6/29	medium
43837	RHEL 3/4：Satellite サーバー（RHSA-2008:0524）	Nessus	Red Hat Local Security Checks	2010/1/10	2021/1/14	critical

検出

プラグインの検索

medium

medium

medium

medium

critical

medium

high

critical

medium

medium

medium

medium

critical