バナーによると、リモートホストで実行中の Apache のバージョンは、406 応答のファイル名を適切にエスケープしません。リモートの攻撃者がこれを悪用して、任意の HTTP ヘッダーを注入したり、特別に細工された名前を持つファイルをアップロードすることで、クロスサイトスクリプティング攻撃をしかけたりする可能性があります。 

注意：Nessus がサーバーのバナーのバージョンのみに依存しているため、リモート Web サーバーは、実際にはこれらの脆弱性の影響を受けない場合があります。

リモートホストは、2012.2R9 より前のバージョンの NSM（Network and Security Manager）サーバーを実行しています。このため、バンドル化された Apache HTTP Server バージョンにおける複数の脆弱性の影響を受けます。

- 406 および 300 HTTP 応答のファイル名の不適切なエスケープによる欠陥が存在します。リモートの攻撃者がこれを悪用して、特別に細工された名前を持つファイルをアップロードすることによって、任意の HTTP ヘッダーを挿入したり、クロスサイトスクリプティング攻撃を仕掛けることが可能です。(CVE-2008-0456)

- mod_negotiation モジュールに、ファイル名経由で渡された入力の不適切なサニタイズによる複数のクロスサイトスクリプティングの脆弱性が存在します。攻撃者はこれを悪用して、ユーザーのブラウザで任意のスクリプトコードを実行することがあります。(CVE-2012-2687)

- mod_info、mod_status、mod_imagemap、mod_ldap および mod_proxy_ftp モジュールに、URL またはホスト名経由で渡された入力の不適切な検証による複数のクロスサイトスクリプティングの脆弱性が存在します。攻撃者はこれを悪用して、ユーザーのブラウザで任意のスクリプトコードを実行することがあります。(CVE-2012-3499)

- mod_proxy_balancer モジュールに、URL またはホスト名経由で渡された入力の不適切な検証によるクロスサイトスクリプティングの脆弱性が存在します。攻撃者はこれを悪用して、ユーザーのブラウザで任意のスクリプトコードを実行することがあります。(CVE-2012-4558)

- do_rewritelog() 関数に、ログファイルに書き込まれたエスケープシーケンスの不適切なサニタイズによる欠陥が存在します。リモートの攻撃者が、特別に細工された HTTP リクエストを介してこれを悪用し、任意のコマンドを実行する恐れがあります。(CVE-2013-1862)

- mod_dav.c に、URI に対して DAV を有効にするかどうかを判断する検証が不適切なことによるサービス拒否の脆弱性が存在します。リモートの攻撃者がこれを悪用して、特別に細工された MERGE リクエストを介して、セグメンテーション違反を起こし、サービス拒否状態を引き起こす恐れがあります。(CVE-2013-1896)

- dav_xml_get_cdata() 関数に、CDATA セクションからの空白文字の不適切な削除によるサービス拒否の脆弱性が存在します。リモートの攻撃者がこれを悪用して、特別に細工された DAV WRITE リクエストを介して、デーモンクラッシュを引き起こし、サービス拒否状態を引き起こす恐れがあります。(CVE-2013-6438)

- log_cookie() 関数に、未割り当ての値を持つクッキーのロギングによる欠陥が存在します。リモートの攻撃者がこれを悪用して、特別に細工されたリクエストを介して、セグメンテーション違反を起こし、サービス拒否状態を引き起こす恐れがあります。(CVE-2014-0098)

- deflate_in_filter() 関数に、リクエスト本文の展開が構成されたときの欠陥が存在します。リモートの攻撃者がこれを悪用して、特別に細工されたリクエストを介して、利用可能メモリと CPU リソースを消費させ、サービス拒否状態を引き起こす恐れがあります。
 (CVE-2014-0118)

- スコアボード処理時のユーザー指定入力の不適当な検証により、mod_status モジュールに競合状態が存在します。リモートの攻撃者がこれを悪用し、細工されたリクエストを通じて、サービス拒否状態または任意のコードの実行につながるヒープベースのバッファオーバーフローを引き起こす恐れがあります。(CVE-2014-0226)

- mod_cgid モジュールに、タイムアウトメカニズムの欠落による欠陥が存在します。リモートの攻撃者がこれを悪用して、その stdin ファイル記述子から読み取らない CGI スクリプトに対するリクエストを通じて、サービス拒否状態を引き起こすことが可能です。(CVE-2014-0231)

Apache HTTP Server 2.2.x シリーズの 2.2.6 およびそれ以前、2.0.x シリーズの 2.0.61 およびそれ以前、1.3.x シリーズの 1.3.39 およびそれ以前の mod_negotiation モジュールにおける CRLF インジェクションの脆弱性により、リモートの認証されたユーザーが、HTTP ヘッダーシーケンスを含む複数行の名前のファイルおよびファイル拡張をアップロードすることで任意の HTTP ヘッダーを注入し HTTP 応答分割攻撃を実行する可能性があります。これは、ファイルのリクエストで拡張子が省略された場合、（1）「406 Not Acceptable」または（2）「300 Multiple Choice」という HTTP レスポンス内の注入につながります。

複数のセキュリティの問題やさまざまなバグを修正し、拡張機能を追加する更新済みの httpd パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

httpd パッケージには Apache HTTP Server（httpd）が含まれています。これは Apache Software Foundation の同名のプロジェクトです。

mod_negotiation モジュールで、入力サニタイズの欠陥が見つかりました。MultiViews オプションが有効化されているディレクトリに任意の名前を持つファイルのアップロードや作成を行うことができるリモートの攻撃者が、これらの欠陥を利用して、サイトにアクセスしているユーザーに対してクロスサイトスクリプティングおよび HTTP 応答分割の攻撃を行う可能性があります。（CVE-2008-0455、 CVE-2008-0456、CVE-2012-2687）

バグ修正：

* 以前は、「mod_ssl」パッケージに対して「%post」スクリプトを実行する前に、 /etc/pki/tls/private/localhost.key ファイルが有効なキーであるかどうかをチェックしていませんでした。その結果、 /etc/pki/tls/certs/localhost.crt が存在しなくて、「localhost.key」が存在するが無効である場合、 mod_ssl で Apache HTTP Server デーモン（httpd）をアップグレードすることができませんでした。現在は、「%post」スクリプトが修正され、既存の SSL キーをテストします。その結果、現在では httpd を mod_ssl でアップグレードすると、期待通りの処理が行われるようになっています。（BZ#752618）

* 「mod_ssl」モジュールが、FIPS モードの操作をサポートしていませんでした。
その結果、FIPS モードを有効にして、Red Hat Enterprise Linux 5 を動作させると、 httpd を起動できませんでした。現在は、FIPS モードで動作させる場合に、上流のパッチを適用して、非 FIPS 機能性を無効にすると、 httpd を期待通りに起動できます。（BZ#773473）

* この更新が出る前は、httpd の終了ステータスコードに Linux Standard Base（LSB）との互換性がありませんでした。コマンド「service httpd reload」が実行されて、 httpd が失敗すると、返される終了ステータスコードは「0」であり、予期されていた 1 ～ 6 の範囲ではありませんでした。init スクリプトにパッチが適用され、現在では httpd が終了ステータスコードとして予期されていた通りの「1」を返すようになっています。
（BZ#783242）

* チャンク転送のコーディングは RFC 2616 で説明されています。以前は、「チャンクのサイズ」または「チャンク拡張」の値が 32 バイト以上の場合、 Apache サーバーがチャンクエンコードされた POST リクエストを適切に処理していませんでした。
結果として、このような POST リクエストが作成されても、サーバーは応答していませんでした。現在は、上流のパッチが適用され、この問題は発生しなくなりました。（BZ#840845）

* 回帰のため、mod_cache がキャッシュできない 304 応答を受け取ると、間違ったヘッダーが提供されていました。その結果、キャッシュされたヘッダーがデータが圧縮されていることを表示することなく、圧縮されたデータがクライアントへ返されていました。上流のパッチが適用されて、キャッシュからのデータがクライアントへ提供される前に、応答とキャッシュされたヘッダーが結合されるようになっています。この結果、現在は、キャッシュされたデータがクライアントによって正しく解釈されています。（BZ#845532）

* プロキシの構成で、特定の応答行の文字列が適切に処理されていませんでした。「説明」文字列がない応答行が生成元サーバーから受信されると、「450」ステータスコードなどの非標準のステータスコードでは「500 Internal Server Error」がクライアントに返されます。このバグは修正され、現在では、生成元の応答行がクライアントに返されるようになっています。（BZ#853128）

強化点：

* 以前に導入された「LDAPChaseReferrals」に加えて、構成ディレクティブ「LDAPReferrals」が現在サポートされています。
（BZ#727342）

* 「mod_proxy」、「mod_proxy_ajp」の AJP サポートモジュールが、現在は「ProxyErrorOverride」ディレクティブをサポートします。結果として、現在は AJP でアクセスされるバックエンドのサーバーで実行されている Web アプリケーションのエラーページをカスタマイズすることが可能です。（BZ#767890）

* 現在は、パッケージのアップグレード後に httpd サービスを自動的に再起動する「%posttrans」スクリプトレットを、無効にすることができます。ファイル /etc/sysconfig/httpd-disable-posttrans が存在すると、スクリプトレットがデーモンを再起動しません。（BZ#833042）

* 現在は、「httpd -S」の出力に、各仮想ホストの設定済みエイリアス名が含まれます。（BZ#833043）

* 新しい証明書変数の名前は、「_DN_userID」サフィックスを使用して「mod_ssl」で表示されます。たとえば、「SSL_CLIENT_S_DN_userID」などとなり、「userID」の共通オブジェクト識別子（OID）定義である OID 0.9.2342.19200300.100.1.1 を使用します。（BZ#840036）

これらの問題を修正し、これらの拡張機能を実装するためにも、httpd ユーザーはすべて、更新パッケージにアップグレードすることが推奨されています。

mod_negotiation モジュールで、入力サニタイズの欠陥が見つかりました。MultiViews オプションが有効化されているディレクトリに任意の名前を持つファイルのアップロードや作成を行うことができるリモートの攻撃者が、これらの欠陥を利用して、サイトにアクセスしているユーザーに対してクロスサイトスクリプティングおよび HTTP 応答分割の攻撃を行う可能性があります。（CVE-2008-0455、 CVE-2008-0456、CVE-2012-2687）

バグ修正：

- 以前は、「mod_ssl」パッケージに対して「%post」スクリプトを実行する前に、/etc/pki/tls/private/localhost.key ファイルが有効なキーであるかどうかをチェックしていませんでした。その結果、 /etc/pki/tls/certs/localhost.crt が存在しなくて、「localhost.key」が存在するが無効である場合、 mod_ssl で Apache HTTP Server デーモン（httpd）をアップグレードすることができませんでした。
 現在は、「%post」スクリプトが修正され、既存の SSL キーをテストします。その結果、現在では httpd を mod_ssl でアップグレードすると、期待通りの処理が行われるようになっています。

- 「mod_ssl」モジュールが、FIPS モードの操作をサポートしていませんでした。その結果、FIPS モードを有効にして、Scientific Linux 5 を動作させると、httpd を起動できませんでした。現在は、FIPS モードで動作させる場合に、上流のパッチを適用して、非 FIPS 機能性を無効にすると、 httpd を期待通りに起動できます。

- この更新が出る前は、httpd の終了ステータスコードに Linux Standard Base（LSB）との互換性がありませんでした。コマンド「service httpd reload」が実行されて、 httpd が失敗すると、返される終了ステータスコードは「0」であり、予期されていた 1 ～ 6 の範囲ではありませんでした。init スクリプトにパッチが適用され、現在では httpd が終了ステータスコードとして予期されていた通りの「1」を返すようになっています。

- チャンク転送のコーディングは RFC 2616 で説明されています。
 以前は、「チャンクのサイズ」または「チャンク拡張」の値が 32 バイト以上の場合、Apache サーバーがチャンクエンコードされた POST リクエストを適切に処理していませんでした。
 結果として、このような POST リクエストが作成されても、サーバーは応答していませんでした。現在は、上流のパッチが適用され、この問題は発生しなくなりました。

- 回帰のため、mod_cache がキャッシュできない 304 応答を受け取ると、間違ったヘッダーが提供されていました。その結果、キャッシュされたヘッダーがデータが圧縮されていることを表示することなく、圧縮されたデータがクライアントへ返されていました。上流のパッチが適用されて、キャッシュからのデータがクライアントへ提供される前に、応答とキャッシュされたヘッダーが結合されるようになっています。この結果、現在は、キャッシュされたデータがクライアントによって正しく解釈されています。

- プロキシの構成で、特定の応答行の文字列が適切に処理されていませんでした。「説明」文字列がない応答行が生成元サーバーから受信されると、「450」ステータスコードなどの非標準のステータスコードでは「500 Internal Server Error」がクライアントに返されます。このバグは修正され、現在では、生成元の応答行がクライアントに返されるようになっています。

強化点：

- 以前に導入された「LDAPChaseReferrals」に加えて、構成ディレクティブ「LDAPReferrals」が現在サポートされています。

- 「mod_proxy」、「mod_proxy_ajp」の AJP サポートモジュールが、現在は「ProxyErrorOverride」ディレクティブをサポートします。
 結果として、現在は AJP でアクセスされるバックエンドのサーバーで実行されている Web アプリケーションのエラーページをカスタマイズすることが可能です。

- 現在は、パッケージのアップグレード後に httpd サービスを自動的に再起動する「%posttrans」スクリプトレットを、無効にすることができます。ファイル /etc/sysconfig/httpd-disable-posttrans が存在すると、スクリプトレットがデーモンを再起動しません。

- 現在は、「httpd -S」の出力に、各仮想ホストの設定済みエイリアス名が含まれます。

- 新しい証明書変数の名前は、「_DN_userID」サフィックスを使用して「mod_ssl」で表示されます。たとえば、「SSL_CLIENT_S_DN_userID」などとなり、「userID」の共通オブジェクト識別子（OID）定義である OID 0.9.2342.19200300.100.1.1 を使用します。

Red Hat セキュリティアドバイザリ 2013:0130 から：

複数のセキュリティの問題やさまざまなバグを修正し、拡張機能を追加する更新済みの httpd パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

httpd パッケージには Apache HTTP Server（httpd）が含まれています。これは Apache Software Foundation の同名のプロジェクトです。

mod_negotiation モジュールで、入力サニタイズの欠陥が見つかりました。MultiViews オプションが有効化されているディレクトリに任意の名前を持つファイルのアップロードや作成を行うことができるリモートの攻撃者が、これらの欠陥を利用して、サイトにアクセスしているユーザーに対してクロスサイトスクリプティングおよび HTTP 応答分割の攻撃を行う可能性があります。（CVE-2008-0455、 CVE-2008-0456、CVE-2012-2687）

バグ修正：

* 以前は、「mod_ssl」パッケージに対して「%post」スクリプトを実行する前に、 /etc/pki/tls/private/localhost.key ファイルが有効なキーであるかどうかをチェックしていませんでした。その結果、 /etc/pki/tls/certs/localhost.crt が存在しなくて、「localhost.key」が存在するが無効である場合、 mod_ssl で Apache HTTP Server デーモン（httpd）をアップグレードすることができませんでした。現在は、「%post」スクリプトが修正され、既存の SSL キーをテストします。その結果、現在では httpd を mod_ssl でアップグレードすると、期待通りの処理が行われるようになっています。（BZ#752618）

* 「mod_ssl」モジュールが、FIPS モードの操作をサポートしていませんでした。
その結果、FIPS モードを有効にして、Red Hat Enterprise Linux 5 を動作させると、 httpd を起動できませんでした。現在は、FIPS モードで動作させる場合に、上流のパッチを適用して、非 FIPS 機能性を無効にすると、 httpd を期待通りに起動できます。（BZ#773473）

* この更新が出る前は、httpd の終了ステータスコードに Linux Standard Base（LSB）との互換性がありませんでした。コマンド「service httpd reload」が実行されて、 httpd が失敗すると、返される終了ステータスコードは「0」であり、予期されていた 1 ～ 6 の範囲ではありませんでした。init スクリプトにパッチが適用され、現在では httpd が終了ステータスコードとして予期されていた通りの「1」を返すようになっています。
（BZ#783242）

* チャンク転送のコーディングは RFC 2616 で説明されています。以前は、「チャンクのサイズ」または「チャンク拡張」の値が 32 バイト以上の場合、 Apache サーバーがチャンクエンコードされた POST リクエストを適切に処理していませんでした。
結果として、このような POST リクエストが作成されても、サーバーは応答していませんでした。現在は、上流のパッチが適用され、この問題は発生しなくなりました。（BZ#840845）

* 回帰のため、mod_cache がキャッシュできない 304 応答を受け取ると、間違ったヘッダーが提供されていました。その結果、キャッシュされたヘッダーがデータが圧縮されていることを表示することなく、圧縮されたデータがクライアントへ返されていました。上流のパッチが適用されて、キャッシュからのデータがクライアントへ提供される前に、応答とキャッシュされたヘッダーが結合されるようになっています。この結果、現在は、キャッシュされたデータがクライアントによって正しく解釈されています。（BZ#845532）

* プロキシの構成で、特定の応答行の文字列が適切に処理されていませんでした。「説明」文字列がない応答行が生成元サーバーから受信されると、「450」ステータスコードなどの非標準のステータスコードでは「500 Internal Server Error」がクライアントに返されます。このバグは修正され、現在では、生成元の応答行がクライアントに返されるようになっています。（BZ#853128）

強化点：

* 以前に導入された「LDAPChaseReferrals」に加えて、構成ディレクティブ「LDAPReferrals」が現在サポートされています。
（BZ#727342）

* 「mod_proxy」、「mod_proxy_ajp」の AJP サポートモジュールが、現在は「ProxyErrorOverride」ディレクティブをサポートします。結果として、現在は AJP でアクセスされるバックエンドのサーバーで実行されている Web アプリケーションのエラーページをカスタマイズすることが可能です。（BZ#767890）

* 現在は、パッケージのアップグレード後に httpd サービスを自動的に再起動する「%posttrans」スクリプトレットを、無効にすることができます。ファイル /etc/sysconfig/httpd-disable-posttrans が存在すると、スクリプトレットがデーモンを再起動しません。（BZ#833042）

* 現在は、「httpd -S」の出力に、各仮想ホストの設定済みエイリアス名が含まれます。（BZ#833043）

* 新しい証明書変数の名前は、「_DN_userID」サフィックスを使用して「mod_ssl」で表示されます。たとえば、「SSL_CLIENT_S_DN_userID」などとなり、「userID」の共通オブジェクト識別子（OID）定義である OID 0.9.2342.19200300.100.1.1 を使用します。（BZ#840036）

これらの問題を修正し、これらの拡張機能を実装するためにも、httpd ユーザーはすべて、更新パッケージにアップグレードすることが推奨されています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
17692	Apache mod_negotiation 複数行のファイル名のアップロードの脆弱性	Nessus	Web Servers	2011/11/18	2018/11/15	medium
84877	Juniper NSM < 2012.2R9 Apache HTTP Server の複数の脆弱性（JSA10685）	Nessus	Misc.	2015/7/20	2022/4/11	medium
85697	F5 Networks BIG-IP：Apache HTTP Server の脆弱性（SOL17189）	Nessus	F5 Networks Local Security Checks	2015/8/31	2021/3/10	low
84878	Juniper NSM < 2012.2R9 Apache HTTP Server の複数の脆弱性（JSA10685)（認証情報チェック）	Nessus	Misc.	2015/7/20	2018/7/12	medium
63411	RHEL 5：httpd（RHSA-2013:0130）	Nessus	Red Hat Local Security Checks	2013/1/8	2024/4/27	medium
63575	CentOS 5：httpd（CESA-2013:0130）	Nessus	CentOS Local Security Checks	2013/1/17	2021/1/4	medium
63597	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の httpd	Nessus	Scientific Linux Local Security Checks	2013/1/17	2021/1/14	medium
68701	Oracle Linux 5：httpd（ELSA-2013-0130）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium

検出

プラグインの検索

medium

medium

low

medium

medium

medium

medium

medium