Debian DSA-3896-1：apache2 - 安全性更新

critical Nessus Plugin ID 101013

語系：

概要

遠端 Debian 主機缺少安全性更新。

說明

在 Apache HTTPD 伺服器中發現數個弱點：- CVE-2017-3167 Emmanuel Dreyfus 報告第三方模組在驗證階段外使用 ap_get_basic_auth_pw() 函式可能會造成繞過驗證要求。- CVE-2017-3169 AdNovum Informatik AG 的 Vasileios Panopoulos 發現當第三方模組若在對 HTTP 連接埠發出 HTTP 要求期間呼叫 ap_hook_process_connection()，mod_ssl 可能會解除參照 NULL 指標，這會導致拒絕服務問題。- CVE-2017-7659 Robert Swiecki 報告特製的 HTTP/2 要求會造成 mod_http2 解除參照 NULL 指標和損毀伺服器處理程序。- CVE-2017-7668 Javier Jimenez 報告 HTTP 嚴格剖析含有一個缺陷，會導致 ap_find_token() 中出現緩衝區過度讀取。遠端攻擊者可利用此缺陷，透過特製一系列的要求標頭造成區段錯誤，或迫使 ap_find_token() 傳回錯誤值。- CVE-2017-7679 ChenQin 和 Hanno Boeck 報告在傳送惡意的內容類型回應標頭時，mod_mime 會讀取超過緩衝區終點外的一個位元組。

解決方案

升級 apache2 套件。針對舊的穩定發行版本 (jessie)，這些問題已在 2.4.10-10+deb8u9 版本中修正。舊的穩定發行版本 (jessie) 不受到 CVE-2017-7659 影響。針對穩定的發行版本 (stretch)，這些問題已在 2.4.25-3+deb9u1 版本中修正。