Debian DSA-1934-1：apache2 - 多個問題

high Nessus Plugin ID 44799

語系：

概要

遠端 Debian 主機缺少安全性相關更新。

說明

在 TLS 與 SSL 通訊協定中發現一個設計瑕疵，允許攻擊者在 TLS/SSL 連線開始時插入任意內容。攻擊與 TLS 和 SSL 處理工作階段重新交涉的方式有關。已為此弱點指派 CVE-2009-3555。

作為對此攻擊的部分減輕，此 apache2 更新會停用用戶端起始的重新交涉。這應修正大部分使用中 Apache 組態的弱點。

注意：這並非問題的完整修正。在伺服器起始重新交涉的組態中仍可能發生攻擊。對於下列組態而言便是如此 (更新版套件變更記錄中的資訊有些不正確)：

-「SSLVerifyClient」指示詞用於目錄或位置內容中。
- 「SSLCipherSuite」指示詞用於目錄或位置內容中。

作為因應措施，您可能會以 SSLVerifyClient 與 SSLCipherSuite 僅用於伺服器或虛擬主機層級的方式，重新配置組態。

問題的完整修正需要通訊協定變更。詳細資訊將包含在關於此問題的單獨公告中。

此外，此更新也可修正 Apache mod_proxy_ftp 中的下列問題：

- CVE-2009-3094 mod_proxy_ftp 模組中的輸入驗證不充分，允許遠端 FTP 伺服器透過 EPSV 命令的格式錯誤回覆，造成拒絕服務 (NULL 指標解除參照與子處理程序損毀)。

- CVE-2009-3095 mod_proxy_ftp 模組中的輸入驗證不充分，允許經驗證的遠端攻擊者繞過預定的存取限制，並將任意 FTP 命令傳送至 FTP 伺服器。

解決方案

升級 apache2 和 apache2-mpm-itk 套件。

針對舊的穩定發行版本 (etch)，這些問題已在 2.2.3-4+etch11 版中修正。

針對穩定的發行版本 (lenny)，這些問題已在 2.2.9-10+lenny6 版中修正。此版本也包含為包含在下一個穩定重點版本 (Debian 5.0.4) 中而排程的部分非安全性錯誤修正。

此公告也提供針對新 apache2 套件重新編譯的更新版 apache2-mpm-itk 套件。

尚未包含 armel 架構的更新版 apache2-mpm-itk 套件。這些套件將於可用時發行。