lighttpd < 1.4.20 多個弱點

high Nessus Plugin ID 34332

語系：

概要

遠端 Web 伺服器受到多個弱點影響。

說明

根據其標題，遠端主機上執行的 lighttpd 版本比 1.4.20 舊。因此，該應用程式受到多個弱點影響：

- connection_state_machine() 函式中有一個拒絕服務弱點，在下載完成前中斷連線時可觸發此弱點。未經驗證的遠端攻擊者可利用此弱點，造成所有使用中的 SSL 連線遺失。
(CVE-2008-1531)

- http_request_parse() 函式中有一個記憶體洩漏瑕疵。未經驗證的遠端攻擊者可藉由大量包含重複要求標頭的要求，利用此瑕疵造成拒絕服務情形。(CVE-2008-4298)

- 存在一個安全性繞過弱點，這是在執行 URL 解碼之前，將 URI 與 url.redirect 和 url.rewrite 組態設定中的模式進行比較所導致。
未經驗證的遠端攻擊者可利用此弱點繞過預定的存取限制，進而導致敏感資訊遭洩漏或篡改。
(CVE-2008-4359)

- mod_userdir 中存在一個安全性繞過弱點，這是程式即使在不區分大小寫的作業系統和檔案系統上也會執行區分大小寫的比較所導致。未經驗證的遠端攻擊者可利用此弱點繞過預定的存取限制，進而導致敏感資訊洩漏。(CVE-2008-4360)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。