バナーによると、リモートホストで実行しているApacheのバージョンは、2.4.25より前の2.4.xです。したがって、次の脆弱性の影響を受けます:

 - CBCまたはECBの動作モード (デフォルトではAES256-CBC) で設定された暗号を使用してデータとCookieが暗号化されているため、mod_session_cryptoモジュールに欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、暗号鍵を知らなくてもパディングオラクル攻撃を通じて情報を復号して、秘密情報を漏洩する可能性があります。 (CVE-2016-0736)

 - クライアントエントリの割り当て中に、mod_auth_digestモジュールにサービス拒否の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工された入力で共有メモリリソースを枯渇させ、サーバークラッシュを引き起こす可能性があります。 (CVE-2016-2161)

 - RFC 3875セクション4.1.18にしたがって名前空間の競合を適切に解決できないため、Apache HTTP Serverは「httpoxy」として知られる中間者の脆弱性の影響を受けます。HTTP_PROXY環境変数が、HTTPリクエストの「Proxy」ヘッダーの信頼できないユーザーデータに基づいて設定されます。HTTP_PROXY環境変数が、リモートプロキシサーバーを指定するために、一部のWebクライアントライブラリにより使用されます。認証されていないリモートの攻撃者がこれを悪用し、HTTP リクエストの細工された「Proxy」ヘッダーを通じて、アプリケーションの内部 HTTP トラフィックを任意のプロキシサーバーにリダイレクトする可能性があります。このプロキシサーバーは、観察または操作が行われる可能性があります。(CVE-2016-5387)

 - LimitRequestFieldsディレクティブが不適切に処理されているため、mod_http2モジュールにサービス拒否の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、HTTP/2リクエストで特別に細工されたCONTINUATIONフレームを介して無制限のリクエストヘッダーをサーバーに挿入し、メモリリソースを枯渇させる可能性があります。 (CVE-2016-8740)

 - ユーザーエージェントヘッダーの空白パターンが不適切に処理されているため、欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたユーザーエージェントヘッダーを使用してプログラムに誤ってリクエストシーケンスを処理させ、誤って応答を解釈させたり、キャッシュを汚染させたり、あるリクエストからのコンテンツを次の下流ユーザーエージェントに漏洩させたりする可能性があります。 (CVE-2016-8743)

 - mod_userdir モジュールに CRLF 脆弱性が存在します。認証されていないリモートの攻撃者が、これを悪用して HTTP 応答分割攻撃を実行する可能性があります。(CVE-2016-4975)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

バナーによると、リモートホストで実行しているApacheのバージョンは、2.4.25より前の2.4.xです。したがって、次の脆弱性の影響を受けます:

  - CBCまたはECBの動作モード（デフォルトではAES256-CBC）で設定された暗号を使用してデータとCookieが暗号化されているため、mod_session_cryptoモジュールに欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、暗号鍵を知らなくてもパディングオラクル攻撃を通じて情報を復号して、秘密情報を漏えいする可能性があります。（CVE-2016-0736）

  - クライアントエントリの割り当て中に、mod_auth_digestモジュールにサービス拒否の脆弱性があります。
    認証されていないリモートの攻撃者がこれを悪用し、特別に細工された入力で共有メモリリソースを枯渇させ、サーバークラッシュを引き起こす可能性があります。（CVE-2016-2161）

  - RFC 3875セクション4.1.18にしたがって名前空間の競合を適切に解決できないため、Apache HTTP Serverは「httpoxy」として知られる中間者の脆弱性の影響を受けます。HTTP_PROXY環境変数が、HTTPリクエストの「Proxy」ヘッダーの信頼できないユーザーデータに基づいて設定されます。HTTP_PROXY環境変数が、リモートプロキシサーバーを指定するために、一部のWebクライアントライブラリにより使用されます。認証されていないリモートの攻撃者がこれを悪用し、HTTPリクエストの細工された「Proxy」ヘッダーを通じて、アプリケーションの内部HTTPトラフィックを任意のプロキシサーバーにリダイレクトする可能性があります。このプロキシサーバーは、観察または操作が行われる可能性があります。
    （CVE-2016-5387）

  - LimitRequestFieldsディレクティブが不適切に処理されているため、mod_http2モジュールにサービス拒否の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、HTTP/2リクエストで特別に細工されたCONTINUATIONフレームを介して無制限のリクエストヘッダーをサーバーに挿入し、メモリリソースを枯渇させる可能性があります。（CVE-2016-8740）

  - ユーザーエージェントヘッダーの空白パターンが不適切に処理されているため、欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたユーザーエージェントヘッダーを使用してプログラムに誤ってリクエストシーケンスを処理させ、誤って応答を解釈させたり、キャッシュを汚染させたり、あるリクエストからのコンテンツを次の下流ユーザーエージェントに漏洩させたりする可能性があります。（CVE-2016-8743）

  - mod_userdirを使用するサイトに対するHTTP応答分割攻撃を可能にするCRLFインジェクション（CVE-2016-4975）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このapache2の更新では、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2016-8743：リクエストから受け入れられ、応答行とヘッダーで送信される、制限のない空白の解釈を修正しました。これらのさまざまな動作を受け入れることは、httpdがプロキシのチェーンに参加したり、mod_proxyまたは従来のCGIメカニズムを使用してバックエンドアプリケーションサーバーとやり取りしたりする際のセキュリティ上の懸念となっており、リクエストのスマグリング、応答分割、キャッシュ汚染を引き起こす可能性があります。（bsc#1016715）

CVE-2016-4975：mod_userdirを使用するサイトに対するHTTP応答分割攻撃を可能にするCRLFインジェクションの可能性が修正されました。この問題は、「ロケーション」あるいはその他のアウトバウンドヘッダーキーまたは値へのCRまたはLFインジェクションを禁止する変更によって緩和されました。（bsc#1104826）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

バナーによると、リモートホストで実行しているApacheのバージョンは、2.2.32より前の2.2.xです。したがって、次の脆弱性の影響を受けます：

  - RFC 3875セクション4.1.18にしたがって名前空間の競合を適切に解決できないため、Apache HTTP Serverは「httpoxy」として知られる中間者の脆弱性の影響を受けます。HTTP_PROXY環境変数が、HTTPリクエストの「Proxy」ヘッダーの信頼できないユーザーデータに基づいて設定されます。HTTP_PROXY環境変数が、リモートプロキシサーバーを指定するために、一部のWebクライアントライブラリにより使用されます。認証されていないリモートの攻撃者がこれを悪用し、HTTPリクエストの細工された「Proxy」ヘッダーを通じて、アプリケーションの内部HTTPトラフィックを任意のプロキシサーバーにリダイレクトする可能性があります。このプロキシサーバーは、観察または操作が行われる可能性があります。
    （CVE-2016-5387）

  - ユーザーエージェントヘッダーの空白パターンが不適切に処理されているため、欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたユーザーエージェントヘッダーを使用してプログラムに誤ってリクエストシーケンスを処理させ、誤って応答を解釈させたり、キャッシュを汚染させたり、あるリクエストからのコンテンツを次の下流ユーザーエージェントに漏洩させたりする可能性があります。（CVE-2016-8743）

  - mod_userdirを使用するサイトに対するHTTP応答分割攻撃を可能にするCRLFインジェクション（CVE-2016-4975）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このapache2の更新では、次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2016-8743：リクエストから受け入れられ、応答行とヘッダーで送信される、制限のない空白の解釈を修正しました。これらのさまざまな動作を受け入れることは、httpdがプロキシのチェーンに参加したり、mod_proxyまたは従来のCGIメカニズムを使用してバックエンドアプリケーションサーバーとやり取りしたりする際のセキュリティ上の懸念となっており、リクエストのスマグリング、応答分割、キャッシュ汚染を引き起こす可能性があります。（bsc#1016715）

  - CVE-2016-4975：mod_userdirを使用するサイトに対するHTTP応答分割攻撃を可能にするCRLFインジェクションの可能性が修正されました。この問題は、「ロケーション」あるいはその他のアウトバウンドヘッダーキーまたは値へのCRまたはLFインジェクションを禁止する変更によって緩和されました。（bsc#1104826）この更新はSUSEからインポートされました：SLE-12-SP2：更新プロジェクトを更新します。

httpdの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。httpdパッケージにより、強力で効率の良い、拡張可能なWebサーバーである、Apache HTTPサーバーが提供されます。セキュリティ修正プログラム：* httpdのmod_session_cryptoモジュールが、ユーザーのブラウザーに格納されている暗号化されたセッションデータの整合性を検証するためのメカニズムを使用していなかったことがわかりました。リモートの攻撃者がこの欠陥を悪用して、パディングオラクル攻撃を使い、セッションデータを復号および変更する可能性があります。（CVE-2016-0736）* httpdのmod_auth_digestモジュールがメモリ割り当ての失敗を適切にチェックしていなかったことがわかりました。サーバーがHTTPダイジェスト認証を使用する場合、リモートの攻撃者がこの欠陥を悪用して、httpdの子プロセスでクラッシュを繰り返し発生させる可能性があります。（CVE-2016-2161）* httpdのHTTPパーサーが、HTTPプロトコル仕様で許可されていない特定の文字をHTTPリクエストヘッダーでエンコードされずに使用されるよう不適切に許可していたことがわかりました。これらの文字を異なって解釈するプロキシサーバーやバックエンドサーバーとhttpdが組み合わせて使用された場合、リモートの攻撃者がこの欠陥を悪用して、HTTP応答にデータを挿入してプロキシキャッシュポイズニングを引き起こす可能性があります。（CVE-2016-8743）注意：CVE-2016-8743の問題を修正したことで、HTTPプロトコル仕様に厳密に従わないHTTPクライアントに対し、httpdが「400 Bad Request」エラーを返すようになりました。新たに導入された設定ディレクティブの「HttpProtocolOptions Unsafe」を使用して、あまり厳密でない古い解析を再び有効にすることができます。しかし、このような設定にもCVE-2016-8743の問題が再現されます。バグ修正プログラム：* グレースフルリスタート中に子プロセスを起動するとき、再起動前に多数の子プロセスがアクティブだった場合、httpdの親が必要以上に多くの接続を開こうとする可能性があります。そのため、グレースフルリスタートが完了するまで長時間かかる可能性があります。今回の更新プログラムでは、httpdが修正されてグレースフルリスタート中に開いた接続数をアクティブな子の数に制限したため、前述の問題は発生しなくなりました。（BZ#1420002）* 以前は、WebSocketサーバーへの接続が閉じられたときに、コンテナ内で実行されていたhttpdが500 HTTPステータスコード（内部サーバーエラー）を返していました。そのため、httpdサーバーは正しいHTTPステータスとデータをクライアントに配信できませんでした。この更新プログラムでは、WebSocketサーバーへのプロキシされたすべてのリクエストをhttpdが正しく処理するため、前述の問題は発生しなくなりました。（BZ#1429947）* mod_authnz_ldapモジュールでLDAP認証を使用する構成では、AuthLDAPBindDNディレクティブを使用した名前設定が、すべてのクエリに対してLDAPサーバーに正しくバインドされていませんでした。そのため、認証の試行が失敗していました。LDAPモジュールは、設定された名前が確実にLDAPクエリに正しくバインドされるように修正され、LDAPを使用した認証の失敗はなくなりました。（BZ＃1420047）

Red Hat JBoss Core Services Pack Apache Server 2.4.29パッケージがRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、このリリースがセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。このリリースでは、JBoss Core Services製品の一部である新しいApache HTTP Server 2.4.29パッケージが追加されました。このリリースは、Red Hat JBoss Core Services Apache HTTP Server 2.4.23を置き換え、バグ修正および拡張機能を提供します。このリリースに含まれる最も重要なバグ修正、拡張機能、コンポーネントのアップグレードについては、リリースノートを参照してください。このリリースでは、OpenSSLがバージョン1.0.2.nセキュリティ修正プログラムにアップグレードされました：* openssl：BN_bn2dec()の認証していないエラーによる領域外書き込み（CVE-2016-2182）* openssl：TLSセッションチケットによるHMACの長さの不十分なチェック（CVE-2016-6302）* openssl：証明書メッセージの領域外読み取り（CVE-2016-6306）* openssl：モンゴメリ乗算のキャリープロパゲーションバグ（CVE-2016-7055）* openssl：切り取られたパケットが領域外読み取りを介してクラッシュする可能性があります（CVE-2017-3731）* openssl：BN_mod_expがx86_64で不適切な結果をもたらす可能性があります（CVE-2017-3732）* openssl：x86_64におけるbn_sqrx8x_internalキャリーバグ（CVE-2017-3736）* openssl：SSLオブジェクトの後の読み取り/書き込みがエラー状態（CVE-2017-3737）* openssl：x86_64のrsaz_1024_mul_avx2オーバーフローバグ（CVE-2017-3738）Red Hatは、CVE-2016-6306とCVE-2016-7055を報告してくれたOpenSSLプロジェクトに感謝の意を表します。アップストリームは、Shi Lei氏（Qihoo 360 Inc.、Gear Team）をCVE-2016-6306の最初の報告者として認識しています。

apache2のこの更新プログラムでは、以下の問題が修正されています：

キャッシュサイドチャネル攻撃の軽減：

CVE-2016-8743：リクエストから受け入れられ、応答行とヘッダーで送信される、制限のない空白の解釈を修正しました。これらのさまざまな動作を受け入れることは、httpdがプロキシのチェーンに参加したり、mod_proxyまたは従来のCGIメカニズムを使用してバックエンドアプリケーションサーバーとやり取りしたりする際のセキュリティ上の懸念となっており、リクエストのスマグリング、応答分割、キャッシュ汚染を引き起こす可能性があります。（bsc#1016715）

CVE-2016-4975：mod_userdirを使用するサイトに対するHTTP応答分割攻撃を可能にするCRLFインジェクションの可能性が修正されました。この問題は、「ロケーション」あるいはその他のアウトバウンドヘッダーキーまたは値へのCRまたはLFインジェクションを禁止する変更によって緩和されました。（bsc#1104826）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

出典：Red Hatセキュリティアドバイザリ2017：0906：thhpdの更新がRed Hat Enterprise Linux 7用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。httpdパッケージにより、強力で効率の良い、拡張可能なWebサーバーである、Apache HTTPサーバーが提供されます。セキュリティ修正プログラム：* httpdのmod_session_cryptoモジュールが、ユーザーのブラウザーに格納されている暗号化されたセッションデータの整合性を検証するためのメカニズムを使用していなかったことがわかりました。リモートの攻撃者がこの欠陥を悪用して、パディングオラクル攻撃を使い、セッションデータを復号および変更する可能性があります。（CVE-2016-0736）* httpdのmod_auth_digestモジュールがメモリ割り当ての失敗を適切にチェックしていなかったことがわかりました。サーバーがHTTPダイジェスト認証を使用する場合、リモートの攻撃者がこの欠陥を悪用して、httpdの子プロセスでクラッシュを繰り返し発生させる可能性があります。（CVE-2016-2161）* httpdのHTTPパーサーが、HTTPプロトコル仕様で許可されていない特定の文字をHTTPリクエストヘッダーでエンコードされずに使用されるよう不適切に許可していたことがわかりました。これらの文字を異なって解釈するプロキシサーバーやバックエンドサーバーとhttpdが組み合わせて使用された場合、リモートの攻撃者がこの欠陥を悪用して、HTTP応答にデータを挿入してプロキシキャッシュポイズニングを引き起こす可能性があります。（CVE-2016-8743）注意：CVE-2016-8743の問題を修正したことで、HTTPプロトコル仕様に厳密に従わないHTTPクライアントに対し、httpdが「400 Bad Request」エラーを返すようになりました。新たに導入された設定ディレクティブの「HttpProtocolOptions Unsafe」を使用して、あまり厳密でない古い解析を再び有効にすることができます。しかし、このような設定にもCVE-2016-8743の問題が再現されます。バグ修正プログラム：* グレースフルリスタート中に子プロセスを起動するとき、再起動前に多数の子プロセスがアクティブだった場合、httpdの親が必要以上に多くの接続を開こうとする可能性があります。そのため、グレースフルリスタートが完了するまで長時間かかる可能性があります。今回の更新プログラムでは、httpdが修正されてグレースフルリスタート中に開いた接続数をアクティブな子の数に制限したため、前述の問題は発生しなくなりました。（BZ#1420002）* 以前は、WebSocketサーバーへの接続が閉じられたときに、コンテナ内で実行されていたhttpdが500 HTTPステータスコード（内部サーバーエラー）を返していました。そのため、httpdサーバーは正しいHTTPステータスとデータをクライアントに配信できませんでした。この更新プログラムでは、WebSocketサーバーへのプロキシされたすべてのリクエストをhttpdが正しく処理するため、前述の問題は発生しなくなりました。（BZ#1429947）* mod_authnz_ldapモジュールでLDAP認証を使用する構成では、AuthLDAPBindDNディレクティブを使用した名前設定が、すべてのクエリに対してLDAPサーバーに正しくバインドされていませんでした。そのため、認証の試行が失敗していました。LDAPモジュールは、設定された名前が確実にLDAPクエリに正しくバインドされるように修正され、LDAPを使用した認証の失敗はなくなりました。（BZ＃1420047）

Red Hat JBoss Core Services Pack Apache Server 2.4.29パッケージがRed Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、このリリースがセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。このリリースでは、JBoss Core Services製品の一部である新しいApache HTTP Server 2.4.29パッケージが追加されました。このリリースは、Red Hat JBoss Core Services Apache HTTP Server 2.4.23を置き換え、バグ修正および拡張機能を提供します。このリリースに含まれる最も重要なバグ修正、拡張機能、コンポーネントのアップグレードについては、リリースノートを参照してください。このリリースでは、OpenSSLがバージョン1.0.2.nセキュリティ修正プログラムにアップグレードされました：* openssl：BN_bn2dec()の認証していないエラーによる領域外書き込み（CVE-2016-2182）* openssl：TLSセッションチケットによるHMACの長さの不十分なチェック（CVE-2016-6302）* openssl：証明書メッセージの領域外読み取り（CVE-2016-6306）* openssl：モンゴメリ乗算のキャリープロパゲーションバグ（CVE-2016-7055）* openssl：切り取られたパケットが領域外読み取りを介してクラッシュする可能性があります（CVE-2017-3731）* openssl：BN_mod_expがx86_64で不適切な結果をもたらす可能性があります（CVE-2017-3732）* openssl：x86_64におけるbn_sqrx8x_internalキャリーバグ（CVE-2017-3736）* openssl：SSLオブジェクトの後の読み取り/書き込みがエラー状態（CVE-2017-3737）* openssl：x86_64のrsaz_1024_mul_avx2オーバーフローバグ（CVE-2017-3738）Red Hatは、CVE-2016-6306とCVE-2016-7055を報告してくれたOpenSSLプロジェクトに感謝の意を表します。アップストリームは、Shi Lei氏（Qihoo 360 Inc.、Gear Team）をCVE-2016-6306の最初の報告者として認識しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
98910	Apache 2.4.x< 2.4.25の複数の脆弱性 (httpoxy)	Web App Scanning	Component Vulnerability	2019/1/9	2023/3/14	high
96451	Apache 2.4.x < 2.4.25の複数の脆弱性（httpoxy）	Nessus	Web Servers	2017/1/12	2022/4/11	high
118291	SUSE SLES12セキュリティ更新プログラム：apache2（SUSE-SU-2018:2815-2）	Nessus	SuSE Local Security Checks	2018/10/22	2022/2/4	high
96450	Apache 2.2.x < 2.2.32の複数の脆弱性（httpoxy）	Nessus	Web Servers	2017/1/12	2019/3/27	high
117789	openSUSEセキュリティ更新プログラム：apache2（openSUSE-2018-1046）	Nessus	SuSE Local Security Checks	2018/9/27	2021/1/19	high
99379	CentOS 7：httpd（CESA-2017:0906）	Nessus	CentOS Local Security Checks	2017/4/14	2021/1/4	high
111146	RHEL 7：Red Hat JBoss Core Services Apache HTTP Server 2.4.29 RHEL 7 （RHSA-2018:2185）	Nessus	Red Hat Local Security Checks	2018/7/18	2024/4/27	critical
112199	SUSE SLES12セキュリティ更新プログラム：apache2（SUSE-SU-2018:2554-1）	Nessus	SuSE Local Security Checks	2018/8/31	2019/9/10	high
117695	SUSE SLES12セキュリティ更新プログラム：apache2（SUSE-SU-2018:2815-1）	Nessus	SuSE Local Security Checks	2018/9/25	2022/3/25	high
99329	Oracle Linux 7：httpd（ELSA-2017-0906）	Nessus	Oracle Linux Local Security Checks	2017/4/13	2021/1/14	high
99340	RHEL 7：httpd（RHSA-2017:0906）	Nessus	Red Hat Local Security Checks	2017/4/13	2020/1/22	high
111147	RHEL 6：Red Hat JBoss Core Services Apache HTTP Server 2.4.29 RHEL 6（RHSA-2018:2186）	Nessus	Red Hat Local Security Checks	2018/7/18	2024/4/27	critical

検出

プラグインの検索

high

high

high

high

high

high

critical

high

high

high

high

critical