這項 apache2 的更新修正了下列問題：CVE-2019-0220：Apache HTTP 伺服器沒有使用一致的策略，在其所有的元件中進行 URL 正規化。特別是連續斜線不一定總是摺疊式。攻擊者有可能繞過存取控制機制，而濫用這些不一致，藉此取得服務中受保護部分的未經授權存取權限。[bsc#1131241] CVE-2019-0217：在執行緒伺服器中執行時，Apache 的「mod_auth_digest」中的一個爭用情形，可能會允許擁有有效憑證的使用者，使用其他的使用者名稱進行驗證，而繞過設定的存取控制限制。[bsc#1131239] CVE-2019-0211：Apache HTTP 伺服器中的一個缺陷允許權限較低的子處理程序或執行緒，使用父處理程序的權限執行任意程式碼。能夠控制由伺服器執行之 CGI 指令碼或延伸模組的攻擊者，可以濫用此問題而可能得到超級使用者權限。[bsc#1131233] CVE-2019-0197：如果在 Apache 伺服器中，為「http」主機啟用了 HTTP/2 支援，或是在「https」主機上為 h2 啟用了 H2Upgrade，則連線中不是第一次要求的 http/1.1 到 http/2 升級要求，可能會導致設定錯誤和當機。此問題可以受到濫用而掛接拒絕服務攻擊。從未啟用 h2 通訊協定的伺服器，或僅為 https:啟用而並未設定「H2Upgrade on」的伺服器，則不受影響。[bsc#1131245] CVE-2019-0196：透過特製的網路輸入，Apache 的 http/2 要求處理常式可能會在決定要求的處理方法時，被引導至存取之前釋放的記憶體。這會造成要求被錯誤分類，而受到不正確的處理。[bsc#1131237] 請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

SUSE SLES12 安全性更新：apache2 (SUSE-SU-2019:0878-1)

high Nessus Plugin ID 123785

版本 1.10