Apache HTTP Server 2.2.9 において、httpd の mod_proxy は、Unix で実行中、持続的な接続から応答を読み出す際にタイムアウトが発生してもバックエンド接続を閉じません。これにより、リモートの攻撃者は、標準の HTTP リクエストを介して、別のクライアントを対象としている可能性のある機密レスポンスを便乗的に取得できます。注：
これは CVE-2010-2068 と同じ問題ですが、異なる OS やバージョンのセットに影響するためです。

リモートホストは、GLSA-201206-25 で説明されている脆弱性による影響を受けます（Apache HTTP Server：複数の脆弱性）

Apache HTTP Server で複数の脆弱性が発見されています。
 詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、多様な方法で機密情報を取得したり、権限を得たり、プロキシー背後の意図されないサーバーにリクエストを送信したり、特定のセキュリティ制限をバイパスしたり、HTTPOnly クッキーの値を取得したり、サービス拒否を引き起こしたりする可能性があります。
 ローカルの攻撃者が昇格された権限を取得する可能性があります。
 回避策：

現時点で、既知の回避策はありません。

Apache HTTP Server の mod_proxy モジュールで、バックエンドサーバーに対するリバースプロキシによって転送されるリクエストのタイムアウトを処理する方法に欠陥が見つかりました。プロキシが構成され、既存のバックエンド接続を再利用する場合は、特定のタイムアウト状況において、別のユーザーに向けられた応答が返されることがあります。これにより、情報漏洩を引き起こす可能性があります。（CVE-2010-2791）

Apache HTTP Server の mod_dav モジュールが特定のリクエストを処理する方法に欠陥が見つかりました。リモートの攻撃者が注意深く細工されたリクエストをサーバーに送信した場合、 httpd 子プロセスをクラッシュさせる可能性があります。（CVE-2010-1452）

この更新は以下のバグも修正します：

- mod_deflate が提供した INFLATE フィルターの多数の問題。「Inflate error -5 on flush」エラーが記録されていることがあります。この更新は Apache HTTP Server 2.2.15 から新しい Upstream バージョンに mod_deflate をアップグレードします。
 （BZ#625435）

- 内部リダイレクトにより、サブリクエストを必要とするリソースに mod_filter で DEFLATE フィルターが適用されると、応答が破損することがあります。（BZ#625451）

- mod_ssl「SSLRequire」ディレクティブで使用された OID() 関数では、不明なタイプの拡張が適切に評価されませんでした。（BZ#625452）

更新済みパッケージをインストールした後、更新した内容を有効にするには httpd デーモンを再起動する必要があります。

Red Hat セキュリティアドバイザリ 2010:0659 から：

2 つのセキュリティの課題と複数のバグを修正する更新済み httpd パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Apache HTTP Server は人気のある Web サーバーです。

Apache HTTP Server の mod_proxy モジュールで、バックエンドサーバーに対するリバースプロキシによって転送されるリクエストのタイムアウトを処理する方法に欠陥が見つかりました。プロキシが構成され、既存のバックエンド接続を再利用する場合は、特定のタイムアウト状況において、別のユーザーに向けられた応答が返されることがあります。これにより、情報漏洩を引き起こす可能性があります。(CVE-2010-2791)

Apache HTTP Server の mod_dav モジュールが特定のリクエストを処理する方法に欠陥が見つかりました。リモートの攻撃者が注意深く細工されたリクエストをサーバーに送信した場合、 httpd 子プロセスをクラッシュさせる可能性があります。(CVE-2010-1452)

この更新は以下のバグも修正します：

* mod_deflate による INFLATE フィルターにおける多数の問題。
「Inflate error -5 on flush」エラーが記録されていることがあります。この更新は Apache HTTP Server 2.2.15 から新しい Upstream バージョンに mod_deflate をアップグレードします。（BZ#625435）

* 内部リダイレクトにより、サブリクエストを必要とするリソースに mod_filter で DEFLATE フィルターが適用されると、応答が破損することがあります。
（BZ#625451）

* mod_ssl「SSLRequire」ディレクティブで使用された OID() 関数では、不明なタイプの拡張が適切に評価されませんでした。（BZ#625452）

httpd の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。更新したパッケージをインストールした後、更新を有効にするために httpd デーモンを再起動する必要があります。

2 つのセキュリティの課題と複数のバグを修正する更新済み httpd パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Apache HTTP Server は人気のある Web サーバーです。

Apache HTTP Server の mod_proxy モジュールで、バックエンドサーバーに対するリバースプロキシによって転送されるリクエストのタイムアウトを処理する方法に欠陥が見つかりました。プロキシが構成され、既存のバックエンド接続を再利用する場合は、特定のタイムアウト状況において、別のユーザーに向けられた応答が返されることがあります。これにより、情報漏洩を引き起こす可能性があります。（CVE-2010-2791）

Apache HTTP Server の mod_dav モジュールが特定のリクエストを処理する方法に欠陥が見つかりました。リモートの攻撃者が注意深く細工されたリクエストをサーバーに送信した場合、 httpd 子プロセスをクラッシュさせる可能性があります。（CVE-2010-1452）

この更新は以下のバグも修正します：

* mod_deflate による INFLATE フィルターにおける多数の問題。
「Inflate error -5 on flush」エラーが記録されていることがあります。この更新は Apache HTTP Server 2.2.15 から新しい Upstream バージョンに mod_deflate をアップグレードします。（BZ#625435）

* 内部リダイレクトにより、サブリクエストを必要とするリソースに mod_filter で DEFLATE フィルターが適用されると、応答が破損することがあります。
（BZ#625451）

* mod_ssl「SSLRequire」ディレクティブで使用された OID() 関数では、不明なタイプの拡張が適切に評価されませんでした。（BZ#625452）

httpd の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。更新したパッケージをインストールした後、更新を有効にするために httpd デーモンを再起動する必要があります。

apache で複数の脆弱性が見つかり、修正されています：

Apache HTTP Server 2.2.16 以前の 2.2.x において、mod_cache モジュールと mod_dav モジュールにより、リモートの攻撃者は、パスが欠如しているリクエストを介してサービス拒否（プロセスクラッシュ）を引き起こすことができます（CVE-2010-1452）。

Apache HTTP Server 2.2.9 において、httpd の mod_proxy は、Unix で実行中、持続的な接続から応答を読み出す際にタイムアウトが発生してもバックエンド接続を閉じません。これにより、リモートの攻撃者は、標準の HTTP リクエストを介して、別のクライアントを対象としている可能性のある機密レスポンスを便乗的に取得できます。注：
OS や影響を受ける一連のバージョンは違いますが、これは CVE-2010-2068 と同じ問題です（CVE-2010-2791）。

2009.0 用のパッケージは、拡張メンテナンスプログラム以降に提供されます。詳細については、以下のサイトにアクセスしてください：
http://store.mandriva.com/product_info.php?cPath=149&amp;products_id=4 90

更新パッケージには、これらの問題を修正するため、パッチが適用されています。

2 つのセキュリティの課題と複数のバグを修正する更新済み httpd パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Apache HTTP Server は人気のある Web サーバーです。

Apache HTTP Server の mod_proxy モジュールで、バックエンドサーバーに対するリバースプロキシによって転送されるリクエストのタイムアウトを処理する方法に欠陥が見つかりました。プロキシが構成され、既存のバックエンド接続を再利用する場合は、特定のタイムアウト状況において、別のユーザーに向けられた応答が返されることがあります。これにより、情報漏洩を引き起こす可能性があります。(CVE-2010-2791)

Apache HTTP Server の mod_dav モジュールが特定のリクエストを処理する方法に欠陥が見つかりました。リモートの攻撃者が注意深く細工されたリクエストをサーバーに送信した場合、 httpd 子プロセスをクラッシュさせる可能性があります。(CVE-2010-1452)

この更新は以下のバグも修正します：

* mod_deflate による INFLATE フィルターにおける多数の問題。
「Inflate error -5 on flush」エラーが記録されていることがあります。この更新は Apache HTTP Server 2.2.15 から新しい Upstream バージョンに mod_deflate をアップグレードします。（BZ#625435）

* 内部リダイレクトにより、サブリクエストを必要とするリソースに mod_filter で DEFLATE フィルターが適用されると、応答が破損することがあります。
（BZ#625451）

* mod_ssl「SSLRequire」ディレクティブで使用された OID() 関数では、不明なタイプの拡張が適切に評価されませんでした。（BZ#625452）

httpd の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。更新したパッケージをインストールした後、更新を有効にするために httpd デーモンを再起動する必要があります。

Web サーバーのバナーによると、リモートホストでホストされている HP SystemManagement Homepage（SMH）のバージョンは、7.0 より前です。このように、報告によれば、次の脆弱性の影響を受けます：

- バンドルされている libxslt ライブラリの「generate-id」関数にエラーがあり、これによってヒープメモリアドレスが漏洩する可能性があります。（CVE-2011-0195）

- 詳細不明な入力検証エラーが存在するため、クロスサイトリクエスト偽造攻撃が引き起こされる可能性があります。（CVE-2011-3846）

- 詳細不明なエラーにより、攻撃者が、詳細不明なベクトルを通じてサービス拒否を実行できる可能性があります。
 （CVE-2012-0135、CVE-2012-1993）

- バンドルされたバージョンの PHP に、複数の脆弱性が含まれています。（CVE-2010-3436、CVE-2010-4409、CVE-2010-4645、CVE-2011-1148、CVE-2011-1153、CVE-2011-1464、CVE-2011-1467、CVE-2011-1468、CVE-2011-1470、CVE-2011-1471、CVE-2011-1938、CVE-2011-2202、CVE-2011-2483、CVE-2011-3182、CVE-2011-3189、CVE-2011-3267、CVE-2011-3268）

- バンドルされたバージョンの Apache に、複数の脆弱性が含まれています。（CVE-2010-1452、CVE-2010-1623、CVE-2010-2068、 CVE-2010-2791、CVE-2011-0419、CVE-2011-1928、 CVE-2011-3192、CVE-2011-3348、CVE-2011-3368、 CVE-2011-3639）

- OpenSSL ライブラリは、いくつかのバンドルされたコンポーネントに含まれており、複数の脆弱性があります。
 （CVE-2011-0014、CVE-2011-1468、CVE-2011-1945、CVE-2011-3207、CVE-2011-3210）

- Curl ライブラリは、いくつかのバンドルされたコンポーネントに含まれており、複数の脆弱性があります。
 （CVE-2009-0037、 CVE-2010-0734、CVE-2011-2192）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
87660	F5 Networks BIG-IP：Apache HTTPD の脆弱性（SOL23332326）	Nessus	F5 Networks Local Security Checks	2015/12/30	2021/3/10	medium
59678	GLSA-201206-25：Apache HTTP Server：複数の脆弱性	Nessus	Gentoo Local Security Checks	2012/6/25	2021/1/6	high
60847	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の httpd	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
68091	Oracle Linux 5：httpd（ELSA-2010-0659）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
48934	RHEL 5：httpd（RHSA-2010:0659）	Nessus	Red Hat Local Security Checks	2010/8/31	2021/1/14	medium
48347	Mandriva Linux セキュリティアドバイザリ：apache（MDVSA-2010:153）	Nessus	Mandriva Local Security Checks	2010/8/17	2021/1/6	medium
67078	CentOS 5：httpd（CESA-2010:0659）	Nessus	CentOS Local Security Checks	2013/6/29	2021/1/4	medium
58811	HP System Management Homepage < 7.0 の複数の脆弱性	Nessus	Web Servers	2012/4/20	2022/4/11	critical

検出

プラグインの検索

medium

high

medium

medium

medium

medium

medium

critical