リモートホストが、バージョン 10.6.7 より前の Mac OS X 10.6.x を実行しています。

Mac OS X 10.6.7 は以下の製品のセキュリティ修復を含んでいます：

  - AirPort
  - Apache
  - AppleScript
  - ATS
  - bzip2
  - CarbonCore
  - ClamAV
  - CoreText
  - File Quarantine
  - HFS
  - ImageIO
  - Image RAW
  - Installer
  - Kerberos
  - Kernel
  - Libinfo
  - libxml
  - Mailman
  - PHP
  - QuickLook
  - QuickTime
  - Ruby
  - Samba
  - Subversion
  - Terminal
  - X11

Apache HTTP Server 2.2.9 において、httpd の mod_proxy は、Unix で実行中、持続的な接続から応答を読み出す際にタイムアウトが発生してもバックエンド接続を閉じません。これにより、リモートの攻撃者は、標準の HTTP リクエストを介して、別のクライアントを対象としている可能性のある機密レスポンスを便乗的に取得できます。注：
これは CVE-2010-2068 と同じ問題ですが、異なる OS やバージョンのセットに影響するためです。

自己報告バージョン番号によると、リモートホストにインストールされている HP System Management Homepage は 6.2 より前のバージョンです。
このようなバージョンは、報告されているところによると、次以下脆弱性の影響を受けます。

  - セッションの再ネゴシエーションが適切に処理されず、これが悪用されて、中間者攻撃で任意の平文が挿入されることがあります。（CVE-2009-3555）

  - 攻撃者は、「multipart/form-data」コンテンツが含まれている POST リクエストを使ってファイルをアップロードできることがあります（標的のスクリプトが実際には本質的にファイルのアップロードをサポートしない場合でも）。（CVE-2009-4017）

  - PHP の「proc_open」機能は、「safe_mode_allowed_env_vars」ディレクティブおよび「safe_mode_protected_env_vars」ディレクティブをバイパスするために悪用されることがあります。
    （CVE-2009-4018）

  - 「$_SESSION」および「session.save_path」ディレクティブの割り込み破壊に関するかぎり、PHP はセッションデータを適切に保護しません。（CVE-2009-4143）

  - アプリケーションにより任意の URL リダイレクトが可能です。
    （CVE-2010-1586 および CVE-2010-3283）

  - タイムアウト条件に関連する Apache の mod_proxy_ajp、mod_reqtimeout、および mod_proxy_http に、情報漏洩脆弱性があります。この問題の影響を受けるのは、Windows 上の SMH だけであることに、注意してください。
    （CVE-2010-2068）

  - 未特定の情報漏洩脆弱性により、認証されたユーザーが慎重な扱いが必要な情報にアクセスできることがあります。これを利用して、Linux にインストールされている SMH のルートアクセス権を取得することがあります。（CVE-2010-3009）

  - 未特定の HTTP 応答分割問題が存在します。（CVE-2010-3011）

  - 未特定のクロスサイトスクリプティング問題が存在します。（CVE-2010-3012）

  - 未特定の脆弱性により、慎重な扱いが必要な情報のリモート漏洩が発生することがあります。
    （CVE-2010-3284）

2 つのセキュリティの課題と複数のバグを修正する更新済み httpd パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Apache HTTP Server は人気のある Web サーバーです。

Apache HTTP Server の mod_proxy モジュールで、バックエンドサーバーに対するリバースプロキシによって転送されるリクエストのタイムアウトを処理する方法に欠陥が見つかりました。プロキシが構成され、既存のバックエンド接続を再利用する場合は、特定のタイムアウト状況において、別のユーザーに向けられた応答が返されることがあります。これにより、情報漏洩を引き起こす可能性があります。(CVE-2010-2791)

Apache HTTP Server の mod_dav モジュールが特定のリクエストを処理する方法に欠陥が見つかりました。リモートの攻撃者が注意深く細工されたリクエストをサーバーに送信した場合、 httpd 子プロセスをクラッシュさせる可能性があります。(CVE-2010-1452)

この更新は以下のバグも修正します：

* mod_deflate による INFLATE フィルターにおける多数の問題。
「Inflate error -5 on flush」エラーが記録されていることがあります。この更新は Apache HTTP Server 2.2.15 から新しい Upstream バージョンに mod_deflate をアップグレードします。（BZ#625435）

* 内部リダイレクトにより、サブリクエストを必要とするリソースに mod_filter で DEFLATE フィルターが適用されると、応答が破損することがあります。
（BZ#625451）

* mod_ssl「SSLRequire」ディレクティブで使用された OID() 関数では、不明なタイプの拡張が適切に評価されませんでした。（BZ#625452）

httpd の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。更新したパッケージをインストールした後、更新を有効にするために httpd デーモンを再起動する必要があります。

Web サーバーのバナーによると、リモートホストでホストされている HP SystemManagement Homepage（SMH）のバージョンは、7.0 より前です。このように、報告によれば、次の脆弱性の影響を受けます：

- バンドルされている libxslt ライブラリの「generate-id」関数にエラーがあり、これによってヒープメモリアドレスが漏洩する可能性があります。（CVE-2011-0195）

- 詳細不明な入力検証エラーが存在するため、クロスサイトリクエスト偽造攻撃が引き起こされる可能性があります。（CVE-2011-3846）

- 詳細不明なエラーにより、攻撃者が、詳細不明なベクトルを通じてサービス拒否を実行できる可能性があります。
 （CVE-2012-0135、CVE-2012-1993）

- バンドルされたバージョンの PHP に、複数の脆弱性が含まれています。（CVE-2010-3436、CVE-2010-4409、CVE-2010-4645、CVE-2011-1148、CVE-2011-1153、CVE-2011-1464、CVE-2011-1467、CVE-2011-1468、CVE-2011-1470、CVE-2011-1471、CVE-2011-1938、CVE-2011-2202、CVE-2011-2483、CVE-2011-3182、CVE-2011-3189、CVE-2011-3267、CVE-2011-3268）

- バンドルされたバージョンの Apache に、複数の脆弱性が含まれています。（CVE-2010-1452、CVE-2010-1623、CVE-2010-2068、 CVE-2010-2791、CVE-2011-0419、CVE-2011-1928、 CVE-2011-3192、CVE-2011-3348、CVE-2011-3368、 CVE-2011-3639）

- OpenSSL ライブラリは、いくつかのバンドルされたコンポーネントに含まれており、複数の脆弱性があります。
 （CVE-2011-0014、CVE-2011-1468、CVE-2011-1945、CVE-2011-3207、CVE-2011-3210）

- Curl ライブラリは、いくつかのバンドルされたコンポーネントに含まれており、複数の脆弱性があります。
 （CVE-2009-0037、 CVE-2010-0734、CVE-2011-2192）

バナーによると、リモートホストにインストールされている Apache 2.2 のバージョンは、2.2.16 より前です。このようなバージョンは、以下の複数の脆弱性の影響を受ける可能性があります。

  - mod_cache および mod_dav でのサービス拒否脆弱性。（CVE-2010-1452）
  
  - mod_proxy_ajp、mod_reqtimeout、mod_proxy_http での、タイムアウト条件に対する情報漏洩脆弱性。この問題の影響を受けるのは、Windows、Netware、OS/2 上の Apache だけであることに、注意してください。（CVE-2010-2068）

リモート Web サーバーは、実際にはこれらの脆弱性の影響を受けない場合があることに、注意してください。Nessus では、影響を受けているモジュールが使用されているかの確認、および問題自体の確認は試みていません。

そのバナーによると、リモートホストにインストールされているバージョンの Oracle HTTP Server は、複数の脆弱性の影響を受けます。

注意：Nessus は、パッチまたは回避策が適用されているかどうかを検証しませんでした。

Red Hat セキュリティアドバイザリ 2010:0659 から：

2 つのセキュリティの課題と複数のバグを修正する更新済み httpd パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Apache HTTP Server は人気のある Web サーバーです。

Apache HTTP Server の mod_proxy モジュールで、バックエンドサーバーに対するリバースプロキシによって転送されるリクエストのタイムアウトを処理する方法に欠陥が見つかりました。プロキシが構成され、既存のバックエンド接続を再利用する場合は、特定のタイムアウト状況において、別のユーザーに向けられた応答が返されることがあります。これにより、情報漏洩を引き起こす可能性があります。(CVE-2010-2791)

Apache HTTP Server の mod_dav モジュールが特定のリクエストを処理する方法に欠陥が見つかりました。リモートの攻撃者が注意深く細工されたリクエストをサーバーに送信した場合、 httpd 子プロセスをクラッシュさせる可能性があります。(CVE-2010-1452)

この更新は以下のバグも修正します：

* mod_deflate による INFLATE フィルターにおける多数の問題。
「Inflate error -5 on flush」エラーが記録されていることがあります。この更新は Apache HTTP Server 2.2.15 から新しい Upstream バージョンに mod_deflate をアップグレードします。（BZ#625435）

* 内部リダイレクトにより、サブリクエストを必要とするリソースに mod_filter で DEFLATE フィルターが適用されると、応答が破損することがあります。
（BZ#625451）

* mod_ssl「SSLRequire」ディレクティブで使用された OID() 関数では、不明なタイプの拡張が適切に評価されませんでした。（BZ#625452）

httpd の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。更新したパッケージをインストールした後、更新を有効にするために httpd デーモンを再起動する必要があります。

2 つのセキュリティの課題と複数のバグを修正する更新済み httpd パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Apache HTTP Server は人気のある Web サーバーです。

Apache HTTP Server の mod_proxy モジュールで、バックエンドサーバーに対するリバースプロキシによって転送されるリクエストのタイムアウトを処理する方法に欠陥が見つかりました。プロキシが構成され、既存のバックエンド接続を再利用する場合は、特定のタイムアウト状況において、別のユーザーに向けられた応答が返されることがあります。これにより、情報漏洩を引き起こす可能性があります。（CVE-2010-2791）

Apache HTTP Server の mod_dav モジュールが特定のリクエストを処理する方法に欠陥が見つかりました。リモートの攻撃者が注意深く細工されたリクエストをサーバーに送信した場合、 httpd 子プロセスをクラッシュさせる可能性があります。（CVE-2010-1452）

この更新は以下のバグも修正します：

* mod_deflate による INFLATE フィルターにおける多数の問題。
「Inflate error -5 on flush」エラーが記録されていることがあります。この更新は Apache HTTP Server 2.2.15 から新しい Upstream バージョンに mod_deflate をアップグレードします。（BZ#625435）

* 内部リダイレクトにより、サブリクエストを必要とするリソースに mod_filter で DEFLATE フィルターが適用されると、応答が破損することがあります。
（BZ#625451）

* mod_ssl「SSLRequire」ディレクティブで使用された OID() 関数では、不明なタイプの拡張が適切に評価されませんでした。（BZ#625452）

httpd の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。更新したパッケージをインストールした後、更新を有効にするために httpd デーモンを再起動する必要があります。

リモートホストは、セキュリティ更新 2011-001を適用していないバージョンのMac OS X 10.5を実行しています。 

このセキュリティ更新には以下の製品の修正が含まれます：

  - Apache
  - bzip2
  - ClamAV
  - ImageIO
  - Kerberos
  - Libinfo
  - libxml
  - Mailman
  - PHP
  - QuickLook
  - Ruby
  - X11

ID	名前	製品	ファミリー	公開日	更新日	深刻度
52754	Mac OS X 10.6.x < 10.6.7 の複数の脆弱性	Nessus	MacOS X Local Security Checks	2011/3/22	2018/8/22	high
87660	F5 Networks BIG-IP：Apache HTTPD の脆弱性（SOL23332326）	Nessus	F5 Networks Local Security Checks	2015/12/30	2021/3/10	medium
49272	HP System Management Homepage < 6.2 の複数の脆弱性	Nessus	Web Servers	2010/9/17	2022/4/11	high
67078	CentOS 5：httpd（CESA-2010:0659）	Nessus	CentOS Local Security Checks	2013/6/29	2021/1/4	medium
58811	HP System Management Homepage < 7.0 の複数の脆弱性	Nessus	Web Servers	2012/4/20	2022/4/11	critical
48205	Apache 2.2 < 2.2.16 の複数の脆弱性	Nessus	Web Servers	2010/7/30	2018/11/15	medium
69301	Oracle Fusion Middleware Oracle HTTP Server 複数の脆弱性	Nessus	Web Servers	2013/8/11	2018/11/15	critical
68091	Oracle Linux 5：httpd（ELSA-2010-0659）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
48934	RHEL 5：httpd（RHSA-2010:0659）	Nessus	Red Hat Local Security Checks	2010/8/31	2021/1/14	medium
52753	Mac OS X複数の脆弱性（セキュリティ更新プログラム2011-001）	Nessus	MacOS X Local Security Checks	2011/3/22	2018/7/14	high

検出

プラグインの検索

high

medium

high

medium

critical

medium

critical

medium

medium

high