バナーによると、リモートホストで実行中の Apache 2.4.x のバージョンは、2.4.3 より前です。したがって、次の脆弱性の影響を受けます:

 - 「mod_negotiation」、「Multiviews」および信頼されていないアップロードに関連する、入力検証エラーが存在します。これにより、クロスサイトスクリプティング攻撃が発生する可能性があります。(CVE-2012-2687)

 - 「mod_proxy_ajp」および「mod_proxy_http」に関連するエラーが存在し、接続が開いたままになる可能性があります。特別に細工されたリクエストと組み合わせると、この状態により情報漏洩が発生する可能性があります。(CVE-2012-3502)

スキャナーは、実際にはこれらの問題をテストしていませんが、その代わりにサーバーのバナーのバージョンに依存していることに、注意してください。

1 つのセキュリティの問題と複数のバグを修正し、さまざまな拡張機能を追加する更新 httdp パッケージが Red Hat Enterprise Linux 6 に使用できるようになりました。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

httpd パッケージには Apache HTTP Server（httpd）が含まれています。これは Apache Software Foundation の同名のプロジェクトです。

mod_negotiation Apache HTTP Server モジュールに、入力サニタイズの欠陥が見つかりました。リモートの攻撃者が MultiViews オプションが有効化されているディレクトリ内に任意の名前を持つファイルのアップロードや作成を行うことができる場合、この欠陥を利用してサイトにアクセスしているユーザーに対してクロスサイトスクリプティング攻撃を行うことができます。（CVE-2008-0455、 CVE-2012-2687）

mod_proxy_ajp はロードバランサモードにおいて mod_proxy との構成で使用されると、バックエンドサーバーをエラーとしてマークします。これはたとえ、以前の AJP（Apache Jserv Protocol）CPing リクエストがバックエンドによって反応される場合でも同じことが言えます。バックエンドがプロセスをリクエストするために過剰な時間を使用するようにできるリモートの攻撃者は、再試行タイムアウト期間まで、またはすべてのバックエンドサーバーがエラーとしてマークされるまで、バックエンド AJP サーバーにリクエストを mod_proxy が送信しないようにできます。(CVE-2012-4557)

これらの更新済み httpd パッケージには、多数のバグ修正および強化が含まれています。スペースの関係で、変更すべてを文書化しこのアドバイザリに反映されているわけではありません。これらの変更のなかで最も重要なものについては、「参照」でリンクされている Red Hat Enterprise Linux 6.4 テクニカルノートを参照してください。

httpd のユーザーはすべて、この更新パッケージにアップグレードすることをお勧めします。ここには、この問題修正と拡張機能追加を行うバックポートされたパッチが含まれます。更新済みパッケージをインストールすると、httpd デーモンは自動的に再起動されます。

mod_negotiation Apache HTTP Server モジュールに、入力サニタイズの欠陥が見つかりました。リモートの攻撃者が MultiViews オプションが有効化されているディレクトリ内に任意の名前を持つファイルのアップロードや作成を行うことができる場合、この欠陥を利用してサイトにアクセスしているユーザーに対してクロスサイトスクリプティング攻撃を行うことができます。（CVE-2008-0455、 CVE-2012-2687）

mod_proxy_ajp はロードバランサモードにおいて mod_proxy との構成で使用されると、バックエンドサーバーをエラーとしてマークします。これはたとえ、以前の AJP（Apache Jserv Protocol）CPing リクエストがバックエンドによって反応される場合でも同じことが言えます。バックエンドがプロセスをリクエストするために過剰な時間を使用するようにできるリモートの攻撃者は、再試行タイムアウト期間まで、またはすべてのバックエンドサーバーがエラーとしてマークされるまで、バックエンド AJP サーバーにリクエストを mod_proxy が送信しないようにできます。(CVE-2012-4557)

更新済みパッケージをインストールすると、httpd デーモンは自動的に再起動されます。

Red Hat セキュリティアドバイザリ 2013:0512 から：

1 つのセキュリティの問題と複数のバグを修正し、さまざまな拡張機能を追加する更新 httdp パッケージが Red Hat Enterprise Linux 6 に使用できるようになりました。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

httpd パッケージには Apache HTTP Server（httpd）が含まれています。これは Apache Software Foundation の同名のプロジェクトです。

mod_negotiation Apache HTTP Server モジュールに、入力サニタイズの欠陥が見つかりました。リモートの攻撃者が MultiViews オプションが有効化されているディレクトリ内に任意の名前を持つファイルのアップロードや作成を行うことができる場合、この欠陥を利用してサイトにアクセスしているユーザーに対してクロスサイトスクリプティング攻撃を行うことができます。（CVE-2008-0455、 CVE-2012-2687）

mod_proxy_ajp はロードバランサモードにおいて mod_proxy との構成で使用されると、バックエンドサーバーをエラーとしてマークします。これはたとえ、以前の AJP（Apache Jserv Protocol）CPing リクエストがバックエンドによって反応される場合でも同じことが言えます。バックエンドがプロセスをリクエストするために過剰な時間を使用するようにできるリモートの攻撃者は、再試行タイムアウト期間まで、またはすべてのバックエンドサーバーがエラーとしてマークされるまで、バックエンド AJP サーバーにリクエストを mod_proxy が送信しないようにできます。(CVE-2012-4557)

これらの更新済み httpd パッケージには、多数のバグ修正および強化が含まれています。スペースの関係で、変更すべてを文書化しこのアドバイザリに反映されているわけではありません。これらの変更のなかで最も重要なものについては、「参照」でリンクされている Red Hat Enterprise Linux 6.4 テクニカルノートを参照してください。

httpd のユーザーはすべて、この更新パッケージにアップグレードすることをお勧めします。ここには、この問題修正と拡張機能追加を行うバックポートされたパッチが含まれます。更新済みパッケージをインストールすると、httpd デーモンは自動的に再起動されます。

バナーによると、リモートホストで実行中の Apache のバージョンは、406 応答のファイル名を適切にエスケープしません。リモートの攻撃者がこれを悪用して、任意の HTTP ヘッダーを注入したり、特別に細工された名前を持つファイルをアップロードすることで、クロスサイトスクリプティング攻撃をしかけたりする可能性があります。 

注意：Nessus がサーバーのバナーのバージョンのみに依存しているため、リモート Web サーバーは、実際にはこれらの脆弱性の影響を受けない場合があります。

複数のセキュリティ問題と多様なバグを修正し、拡張機能を追加する更新済みの JBoss Enterprise Application Platform 6.0.1 パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 に基づいた Java アプリケーション用のプラットフォームです。

このリリースは JBoss Enterprise Application Platform 6.0.0 の代替であり、バグ修正および拡張機能を含んでいます。最も重要な変更についての情報は、まもなく以下の URL からアクセスできる 6.0.1 リリースノートを参照してください。https://access.redhat.com/knowledge/docs/

この更新では、使用されていない署名付きの JAR を削除します。JAR MANIFEST.MF ファイルから使用されていない SHA1 チェックサムを削除し、サーバーメモリのフットプリントを低減させています。以前欠如していた場所に、MANIFEST.MF を JAR ファイルに追加します。重複した javadoc ファイルをメインパッケージから削除します。（BZ#853551）

セキュリティ修正：

Apache CXF は、XML 要素が Supporting Token によって確実に署名または暗号化されるかを確認していましたが、適切なトークンが使用されているかは確認していませんでした。リモートの攻撃者は適切なセキュリティなしで機密情報を送信し、Apache CXF から、流出した Web サービスのアクセスコントロールを回避する可能性があります。(CVE-2012-2379)

ロールベースの認証を使用して EJB アクセスを構成する場合、アクセスを決定するために JACC 権限が使用される必要があります。ところが、構成済みの認証モジュール（JACC、XACML など）が呼び出されない欠陥により、JACC 権限が EJB へのアクセスを決定するために使用されていませんでした。(CVE-2012-4550)

Apache CXF がクライアント側で WS-SecurityPolicy 1.1 の子ポリシーを強制する方法で、欠陥が見つかりました。これにより、特定の場合に、セキュリティポリシーによる指示に従うことでクライアントが特定の要素の署名または暗号化に失敗することがあります。その結果、情報漏洩や安全でない情報送信が行われることがあります。(CVE-2012-2378)

IronJacamar が、認証情報を認証する方法や、「allow-multiple-users」に構成された場合に有効なデータソースの接続を返す方法で、欠陥が見つかりました。適切な情報カテゴリが提供されたリモートの攻撃者は、特権ユーザーに属する可能性のあるデータソース接続を取得することがあります。(CVE-2012-3428)

Apache CXF が、特定の状況下における SOAP Action なりすまし攻撃に対して脆弱であることが判明しました。注：WS-Policy 検証は、呼び出されている操作に対して行われます。攻撃が成功するには、検証をパスする必要があります。(CVE-2012-3451)

EJB メソッド起動に許可されているロールがない場合、起動はすべてのユーザーに対して拒否される必要があります。許可されたロールのリストが空の際に、 org.jboss.as.ejb3.security.AuthorizationInterceptor の processInvocation() メソッドが、続行する前にメソッド起動すべてを適切に認証していないことが判明しました。(CVE-2012-4549)

Mojarra で、アプリケーションスタートアップの際に利用できる FacesContext が ThreadLocal に保持されていることが判明しました。この参照は、すべてのケースで適切にクリーンアップされていません。その結果、JavaServer Faces（JSF）WAR が、アプリケーションスタートアップの際に FacesContext.getCurrentInstance() を呼び出すと、別の WAR が残りのコンテキストに対するアクセスを取得でき、そしてその他の WAR リソースに対するアクセスを取得することになります。ローカルの攻撃者はこの欠陥を利用して、細工された展開済みアプリケーションを使用して別の WAR のリソースにアクセスできます。(CVE-2012-2672)

mod_negotiation Apache HTTP Server モジュールに、入力サニタイズの欠陥が見つかりました。リモートの攻撃者が MultiViews オプションが有効化されているディレクトリ内に任意の名前を持つファイルのアップロードや作成を行うことができる場合、この欠陥を利用してサイトにアクセスしているユーザーに対してクロスサイトスクリプティング攻撃を行うことができます。（CVE-2008-0455、 CVE-2012-2687）

Red Hat は、CVE-2012-2379、CVE-2012-2378、CVE-2012-3451 を報告してくれた、Apache CXF プロジェクトに感謝の意を表します。CVE-2012-4550 の問題は、Red Hat JBoss EAP Quality Engineering チームの Joef Cacek 氏によって発見されました。また、CVE-2012-3428 および CVE-2012-4549 は、 Red Hat セキュリティレスポンスチームの Arun Neelicattu 氏によって発見されました。さらに、CVE-2012-2672 は、Red Hat の Marek Schmidt および Stan Silvert 氏によって発見されました。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。詳細についは、ソリューションセクションを参照してください。

Apache HTTP Server 2.2.x シリーズの 2.2.6 以前、2.0.x シリーズの 2.0.61 以前、1.3.x シリーズの 1.3.39 以前の mod_negotiation モジュールにおけるクロスサイトスクリプティング（XSS）の脆弱性により、認証されたリモートユーザーは、XSS シーケンスを含む名前のファイルおよびファイ拡張子をアップロードすることで任意の Web スクリプトまたは HTML を注入できます。これは、ファイルのリクエストで拡張子が省略された場合、(1)「406 Not Acceptable」または (2)「300 Multiple Choice」という HTTP レスポンスでの注入につながります。

複数のセキュリティの問題やさまざまなバグを修正し、拡張機能を追加する更新済みの httpd パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

httpd パッケージには Apache HTTP Server（httpd）が含まれています。これは Apache Software Foundation の同名のプロジェクトです。

mod_negotiation モジュールで、入力サニタイズの欠陥が見つかりました。MultiViews オプションが有効化されているディレクトリに任意の名前を持つファイルのアップロードや作成を行うことができるリモートの攻撃者が、これらの欠陥を利用して、サイトにアクセスしているユーザーに対してクロスサイトスクリプティングおよび HTTP 応答分割の攻撃を行う可能性があります。（CVE-2008-0455、 CVE-2008-0456、CVE-2012-2687）

バグ修正：

* 以前は、「mod_ssl」パッケージに対して「%post」スクリプトを実行する前に、 /etc/pki/tls/private/localhost.key ファイルが有効なキーであるかどうかをチェックしていませんでした。その結果、 /etc/pki/tls/certs/localhost.crt が存在しなくて、「localhost.key」が存在するが無効である場合、 mod_ssl で Apache HTTP Server デーモン（httpd）をアップグレードすることができませんでした。現在は、「%post」スクリプトが修正され、既存の SSL キーをテストします。その結果、現在では httpd を mod_ssl でアップグレードすると、期待通りの処理が行われるようになっています。（BZ#752618）

* 「mod_ssl」モジュールが、FIPS モードの操作をサポートしていませんでした。
その結果、FIPS モードを有効にして、Red Hat Enterprise Linux 5 を動作させると、 httpd を起動できませんでした。現在は、FIPS モードで動作させる場合に、上流のパッチを適用して、非 FIPS 機能性を無効にすると、 httpd を期待通りに起動できます。（BZ#773473）

* この更新が出る前は、httpd の終了ステータスコードに Linux Standard Base（LSB）との互換性がありませんでした。コマンド「service httpd reload」が実行されて、 httpd が失敗すると、返される終了ステータスコードは「0」であり、予期されていた 1 ～ 6 の範囲ではありませんでした。init スクリプトにパッチが適用され、現在では httpd が終了ステータスコードとして予期されていた通りの「1」を返すようになっています。
（BZ#783242）

* チャンク転送のコーディングは RFC 2616 で説明されています。以前は、「チャンクのサイズ」または「チャンク拡張」の値が 32 バイト以上の場合、 Apache サーバーがチャンクエンコードされた POST リクエストを適切に処理していませんでした。
結果として、このような POST リクエストが作成されても、サーバーは応答していませんでした。現在は、上流のパッチが適用され、この問題は発生しなくなりました。（BZ#840845）

* 回帰のため、mod_cache がキャッシュできない 304 応答を受け取ると、間違ったヘッダーが提供されていました。その結果、キャッシュされたヘッダーがデータが圧縮されていることを表示することなく、圧縮されたデータがクライアントへ返されていました。上流のパッチが適用されて、キャッシュからのデータがクライアントへ提供される前に、応答とキャッシュされたヘッダーが結合されるようになっています。この結果、現在は、キャッシュされたデータがクライアントによって正しく解釈されています。（BZ#845532）

* プロキシの構成で、特定の応答行の文字列が適切に処理されていませんでした。「説明」文字列がない応答行が生成元サーバーから受信されると、「450」ステータスコードなどの非標準のステータスコードでは「500 Internal Server Error」がクライアントに返されます。このバグは修正され、現在では、生成元の応答行がクライアントに返されるようになっています。（BZ#853128）

強化点：

* 以前に導入された「LDAPChaseReferrals」に加えて、構成ディレクティブ「LDAPReferrals」が現在サポートされています。
（BZ#727342）

* 「mod_proxy」、「mod_proxy_ajp」の AJP サポートモジュールが、現在は「ProxyErrorOverride」ディレクティブをサポートします。結果として、現在は AJP でアクセスされるバックエンドのサーバーで実行されている Web アプリケーションのエラーページをカスタマイズすることが可能です。（BZ#767890）

* 現在は、パッケージのアップグレード後に httpd サービスを自動的に再起動する「%posttrans」スクリプトレットを、無効にすることができます。ファイル /etc/sysconfig/httpd-disable-posttrans が存在すると、スクリプトレットがデーモンを再起動しません。（BZ#833042）

* 現在は、「httpd -S」の出力に、各仮想ホストの設定済みエイリアス名が含まれます。（BZ#833043）

* 新しい証明書変数の名前は、「_DN_userID」サフィックスを使用して「mod_ssl」で表示されます。たとえば、「SSL_CLIENT_S_DN_userID」などとなり、「userID」の共通オブジェクト識別子（OID）定義である OID 0.9.2342.19200300.100.1.1 を使用します。（BZ#840036）

これらの問題を修正し、これらの拡張機能を実装するためにも、httpd ユーザーはすべて、更新パッケージにアップグレードすることが推奨されています。

複数のセキュリティ問題と多様なバグを修正し、拡張機能を追加する更新済みの JBoss Enterprise Application Platform 6.0.1 パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

JBoss Enterprise Application Platform 6 は、JBoss Application Server 7 に基づいた Java アプリケーション用のプラットフォームです。

このリリースは JBoss Enterprise Application Platform 6.0.0 の代替であり、バグ修正および拡張機能を含んでいます。最も重要な変更についての情報は、まもなく以下の URL からアクセスできる 6.0.1 リリースノートを参照してください。https://access.redhat.com/knowledge/docs/

この更新では、使用されていない署名付きの JAR を削除します。JAR MANIFEST.MF ファイルから使用されていない SHA1 チェックサムを削除し、サーバーメモリのフットプリントを低減させています。以前欠如していた場所に、MANIFEST.MF を JAR ファイルに追加します。重複した javadoc ファイルをメインパッケージから削除します。（BZ#830291）

セキュリティ修正：

Apache CXF は、XML 要素が Supporting Token によって確実に署名または暗号化されるかを確認していましたが、適切なトークンが使用されているかは確認していませんでした。リモートの攻撃者は適切なセキュリティなしで機密情報を送信し、Apache CXF から、流出した Web サービスのアクセスコントロールを回避する可能性があります。(CVE-2012-2379)

ロールベースの認証を使用して EJB アクセスを構成する場合、アクセスを決定するために JACC 権限が使用される必要があります。ところが、構成済みの認証モジュール（JACC、XACML など）が呼び出されない欠陥により、JACC 権限が EJB へのアクセスを決定するために使用されていませんでした。(CVE-2012-4550)

Apache CXF がクライアント側で WS-SecurityPolicy 1.1 の子ポリシーを強制する方法で、欠陥が見つかりました。これにより、特定の場合に、セキュリティポリシーによる指示に従うことでクライアントが特定の要素の署名または暗号化に失敗することがあります。その結果、情報漏洩や安全でない情報送信が行われることがあります。(CVE-2012-2378)

IronJacamar が、認証情報を認証する方法や、「allow-multiple-users」に構成された場合に有効なデータソースの接続を返す方法で、欠陥が見つかりました。適切な情報カテゴリが提供されたリモートの攻撃者は、特権ユーザーに属する可能性のあるデータソース接続を取得することがあります。(CVE-2012-3428)

Apache CXF が、特定の状況下における SOAP Action なりすまし攻撃に対して脆弱であることが判明しました。注：WS-Policy 検証は、呼び出されている操作に対して行われます。攻撃が成功するには、検証をパスする必要があります。(CVE-2012-3451)

EJB メソッド起動に許可されているロールがない場合、起動はすべてのユーザーに対して拒否される必要があります。許可されたロールのリストが空の際に、 org.jboss.as.ejb3.security.AuthorizationInterceptor の processInvocation() メソッドが、続行する前にメソッド起動すべてを適切に認証していないことが判明しました。(CVE-2012-4549)

Mojarra で、アプリケーションスタートアップの際に利用できる FacesContext が ThreadLocal に保持されていることが判明しました。この参照は、すべてのケースで適切にクリーンアップされていません。その結果、JavaServer Faces（JSF）WAR が、アプリケーションスタートアップの際に FacesContext.getCurrentInstance() を呼び出すと、別の WAR が残りのコンテキストに対するアクセスを取得でき、そしてその他の WAR リソースに対するアクセスを取得することになります。ローカルの攻撃者はこの欠陥を利用して、細工された展開済みアプリケーションを使用して別の WAR のリソースにアクセスできます。(CVE-2012-2672)

mod_negotiation Apache HTTP Server モジュールに、入力サニタイズの欠陥が見つかりました。リモートの攻撃者が MultiViews オプションが有効化されているディレクトリ内に任意の名前を持つファイルのアップロードや作成を行うことができる場合、この欠陥を利用してサイトにアクセスしているユーザーに対してクロスサイトスクリプティング攻撃を行うことができます。（CVE-2008-0455、 CVE-2012-2687）

Red Hat は、CVE-2012-2379、CVE-2012-2378、CVE-2012-3451 を報告してくれた、Apache CXF プロジェクトに感謝の意を表します。CVE-2012-4550 の問題は、Red Hat JBoss EAP Quality Engineering チームの Joef Cacek 氏によって発見されました。また、CVE-2012-3428 および CVE-2012-4549 は、 Red Hat セキュリティレスポンスチームの Arun Neelicattu 氏によって発見されました。さらに、CVE-2012-2672 は、Red Hat の Marek Schmidt および Stan Silvert 氏によって発見されました。

警告：この更新を適用する前に、既存の JBoss Enterprise Application Platform のインストールおよび展開済みアプリケーションをバックアップしてください。詳細についは、ソリューションセクションを参照してください。

mod_negotiation モジュールで、入力サニタイズの欠陥が見つかりました。MultiViews オプションが有効化されているディレクトリに任意の名前を持つファイルのアップロードや作成を行うことができるリモートの攻撃者が、これらの欠陥を利用して、サイトにアクセスしているユーザーに対してクロスサイトスクリプティングおよび HTTP 応答分割の攻撃を行う可能性があります。（CVE-2008-0455、 CVE-2008-0456、CVE-2012-2687）

バグ修正：

- 以前は、「mod_ssl」パッケージに対して「%post」スクリプトを実行する前に、/etc/pki/tls/private/localhost.key ファイルが有効なキーであるかどうかをチェックしていませんでした。その結果、 /etc/pki/tls/certs/localhost.crt が存在しなくて、「localhost.key」が存在するが無効である場合、 mod_ssl で Apache HTTP Server デーモン（httpd）をアップグレードすることができませんでした。
 現在は、「%post」スクリプトが修正され、既存の SSL キーをテストします。その結果、現在では httpd を mod_ssl でアップグレードすると、期待通りの処理が行われるようになっています。

- 「mod_ssl」モジュールが、FIPS モードの操作をサポートしていませんでした。その結果、FIPS モードを有効にして、Scientific Linux 5 を動作させると、httpd を起動できませんでした。現在は、FIPS モードで動作させる場合に、上流のパッチを適用して、非 FIPS 機能性を無効にすると、 httpd を期待通りに起動できます。

- この更新が出る前は、httpd の終了ステータスコードに Linux Standard Base（LSB）との互換性がありませんでした。コマンド「service httpd reload」が実行されて、 httpd が失敗すると、返される終了ステータスコードは「0」であり、予期されていた 1 ～ 6 の範囲ではありませんでした。init スクリプトにパッチが適用され、現在では httpd が終了ステータスコードとして予期されていた通りの「1」を返すようになっています。

- チャンク転送のコーディングは RFC 2616 で説明されています。
 以前は、「チャンクのサイズ」または「チャンク拡張」の値が 32 バイト以上の場合、Apache サーバーがチャンクエンコードされた POST リクエストを適切に処理していませんでした。
 結果として、このような POST リクエストが作成されても、サーバーは応答していませんでした。現在は、上流のパッチが適用され、この問題は発生しなくなりました。

- 回帰のため、mod_cache がキャッシュできない 304 応答を受け取ると、間違ったヘッダーが提供されていました。その結果、キャッシュされたヘッダーがデータが圧縮されていることを表示することなく、圧縮されたデータがクライアントへ返されていました。上流のパッチが適用されて、キャッシュからのデータがクライアントへ提供される前に、応答とキャッシュされたヘッダーが結合されるようになっています。この結果、現在は、キャッシュされたデータがクライアントによって正しく解釈されています。

- プロキシの構成で、特定の応答行の文字列が適切に処理されていませんでした。「説明」文字列がない応答行が生成元サーバーから受信されると、「450」ステータスコードなどの非標準のステータスコードでは「500 Internal Server Error」がクライアントに返されます。このバグは修正され、現在では、生成元の応答行がクライアントに返されるようになっています。

強化点：

- 以前に導入された「LDAPChaseReferrals」に加えて、構成ディレクティブ「LDAPReferrals」が現在サポートされています。

- 「mod_proxy」、「mod_proxy_ajp」の AJP サポートモジュールが、現在は「ProxyErrorOverride」ディレクティブをサポートします。
 結果として、現在は AJP でアクセスされるバックエンドのサーバーで実行されている Web アプリケーションのエラーページをカスタマイズすることが可能です。

- 現在は、パッケージのアップグレード後に httpd サービスを自動的に再起動する「%posttrans」スクリプトレットを、無効にすることができます。ファイル /etc/sysconfig/httpd-disable-posttrans が存在すると、スクリプトレットがデーモンを再起動しません。

- 現在は、「httpd -S」の出力に、各仮想ホストの設定済みエイリアス名が含まれます。

- 新しい証明書変数の名前は、「_DN_userID」サフィックスを使用して「mod_ssl」で表示されます。たとえば、「SSL_CLIENT_S_DN_userID」などとなり、「userID」の共通オブジェクト識別子（OID）定義である OID 0.9.2342.19200300.100.1.1 を使用します。

この更新には、Apache HTTP Server の 2.2.23 リリースが含まれています。

http://www.eu.apache.org/dist/httpd/CHANGES_2.2.23

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Red Hat セキュリティアドバイザリ 2013:0130 から：

複数のセキュリティの問題やさまざまなバグを修正し、拡張機能を追加する更新済みの httpd パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

httpd パッケージには Apache HTTP Server（httpd）が含まれています。これは Apache Software Foundation の同名のプロジェクトです。

mod_negotiation モジュールで、入力サニタイズの欠陥が見つかりました。MultiViews オプションが有効化されているディレクトリに任意の名前を持つファイルのアップロードや作成を行うことができるリモートの攻撃者が、これらの欠陥を利用して、サイトにアクセスしているユーザーに対してクロスサイトスクリプティングおよび HTTP 応答分割の攻撃を行う可能性があります。（CVE-2008-0455、 CVE-2008-0456、CVE-2012-2687）

バグ修正：

* 以前は、「mod_ssl」パッケージに対して「%post」スクリプトを実行する前に、 /etc/pki/tls/private/localhost.key ファイルが有効なキーであるかどうかをチェックしていませんでした。その結果、 /etc/pki/tls/certs/localhost.crt が存在しなくて、「localhost.key」が存在するが無効である場合、 mod_ssl で Apache HTTP Server デーモン（httpd）をアップグレードすることができませんでした。現在は、「%post」スクリプトが修正され、既存の SSL キーをテストします。その結果、現在では httpd を mod_ssl でアップグレードすると、期待通りの処理が行われるようになっています。（BZ#752618）

* 「mod_ssl」モジュールが、FIPS モードの操作をサポートしていませんでした。
その結果、FIPS モードを有効にして、Red Hat Enterprise Linux 5 を動作させると、 httpd を起動できませんでした。現在は、FIPS モードで動作させる場合に、上流のパッチを適用して、非 FIPS 機能性を無効にすると、 httpd を期待通りに起動できます。（BZ#773473）

* この更新が出る前は、httpd の終了ステータスコードに Linux Standard Base（LSB）との互換性がありませんでした。コマンド「service httpd reload」が実行されて、 httpd が失敗すると、返される終了ステータスコードは「0」であり、予期されていた 1 ～ 6 の範囲ではありませんでした。init スクリプトにパッチが適用され、現在では httpd が終了ステータスコードとして予期されていた通りの「1」を返すようになっています。
（BZ#783242）

* チャンク転送のコーディングは RFC 2616 で説明されています。以前は、「チャンクのサイズ」または「チャンク拡張」の値が 32 バイト以上の場合、 Apache サーバーがチャンクエンコードされた POST リクエストを適切に処理していませんでした。
結果として、このような POST リクエストが作成されても、サーバーは応答していませんでした。現在は、上流のパッチが適用され、この問題は発生しなくなりました。（BZ#840845）

* 回帰のため、mod_cache がキャッシュできない 304 応答を受け取ると、間違ったヘッダーが提供されていました。その結果、キャッシュされたヘッダーがデータが圧縮されていることを表示することなく、圧縮されたデータがクライアントへ返されていました。上流のパッチが適用されて、キャッシュからのデータがクライアントへ提供される前に、応答とキャッシュされたヘッダーが結合されるようになっています。この結果、現在は、キャッシュされたデータがクライアントによって正しく解釈されています。（BZ#845532）

* プロキシの構成で、特定の応答行の文字列が適切に処理されていませんでした。「説明」文字列がない応答行が生成元サーバーから受信されると、「450」ステータスコードなどの非標準のステータスコードでは「500 Internal Server Error」がクライアントに返されます。このバグは修正され、現在では、生成元の応答行がクライアントに返されるようになっています。（BZ#853128）

強化点：

* 以前に導入された「LDAPChaseReferrals」に加えて、構成ディレクティブ「LDAPReferrals」が現在サポートされています。
（BZ#727342）

* 「mod_proxy」、「mod_proxy_ajp」の AJP サポートモジュールが、現在は「ProxyErrorOverride」ディレクティブをサポートします。結果として、現在は AJP でアクセスされるバックエンドのサーバーで実行されている Web アプリケーションのエラーページをカスタマイズすることが可能です。（BZ#767890）

* 現在は、パッケージのアップグレード後に httpd サービスを自動的に再起動する「%posttrans」スクリプトレットを、無効にすることができます。ファイル /etc/sysconfig/httpd-disable-posttrans が存在すると、スクリプトレットがデーモンを再起動しません。（BZ#833042）

* 現在は、「httpd -S」の出力に、各仮想ホストの設定済みエイリアス名が含まれます。（BZ#833043）

* 新しい証明書変数の名前は、「_DN_userID」サフィックスを使用して「mod_ssl」で表示されます。たとえば、「SSL_CLIENT_S_DN_userID」などとなり、「userID」の共通オブジェクト識別子（OID）定義である OID 0.9.2342.19200300.100.1.1 を使用します。（BZ#840036）

これらの問題を修正し、これらの拡張機能を実装するためにも、httpd ユーザーはすべて、更新パッケージにアップグレードすることが推奨されています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
98901	Apache 2.4.x < 2.4.3 の複数の脆弱性	Web App Scanning	Component Vulnerability	2019/1/9	2023/10/30	high
65145	CentOS 6：httpd（CESA-2013:0512）	Nessus	CentOS Local Security Checks	2013/3/10	2021/1/4	medium
64952	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の httpd	Nessus	Scientific Linux Local Security Checks	2013/3/1	2021/1/14	medium
68750	Oracle Linux 6：httpd（ELSA-2013-0512）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
17692	Apache mod_negotiation 複数行のファイル名のアップロードの脆弱性	Nessus	Web Servers	2011/11/18	2018/11/15	medium
64071	RHEL 5：JBoss EAP（RHSA-2012:1591）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical
85708	F5 Networks BIG-IP：Apache HTTP Server の脆弱性（SOL17201）	Nessus	F5 Networks Local Security Checks	2015/9/1	2021/3/10	medium
63411	RHEL 5：httpd（RHSA-2013:0130）	Nessus	Red Hat Local Security Checks	2013/1/8	2024/4/27	medium
64072	RHEL 6：JBoss EAP（RHSA-2012:1592）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical
63575	CentOS 5：httpd（CESA-2013:0130）	Nessus	CentOS Local Security Checks	2013/1/17	2021/1/4	medium
63597	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の httpd	Nessus	Scientific Linux Local Security Checks	2013/1/17	2021/1/14	medium
64595	Fedora 17：httpd-2.2.23-1.fc17（2013-1661）	Nessus	Fedora Local Security Checks	2013/2/13	2021/1/11	medium
64761	RHEL 6：httpd（RHSA-2013:0512）	Nessus	Red Hat Local Security Checks	2013/2/21	2021/1/14	medium
68701	Oracle Linux 5：httpd（ELSA-2013-0130）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium

検出

プラグインの検索

high

medium

medium

medium

medium

critical

medium

medium

critical

medium

medium

medium

medium

medium