在 TLS 與 SSL 通訊協定中發現一個設計瑕疵，允許攻擊者在 TLS/SSL 連線開始時插入任意內容。攻擊與 TLS 和 SSL 處理工作階段重新交涉的方式有關。已為此弱點指派 CVE-2009-3555。

作為對此攻擊的部分減輕，此 apache2 更新會停用用戶端起始的重新交涉。這應修正大部分使用中 Apache 組態的弱點。

注意：這並非問題的完整修正。在伺服器起始重新交涉的組態中仍可能發生攻擊。對於下列組態而言便是如此 (更新版套件變更記錄中的資訊有些不正確)：

  -「SSLVerifyClient」指示詞用於目錄或位置內容中。
  - 「SSLCipherSuite」指示詞用於目錄或位置內容中。

作為因應措施，您可能會以 SSLVerifyClient 與 SSLCipherSuite 僅用於伺服器或虛擬主機層級的方式，重新配置組態。


問題的完整修正需要通訊協定變更。詳細資訊將包含在關於此問題的單獨公告中。

此外，此更新也可修正 Apache mod_proxy_ftp 中的下列問題：

  - CVE-2009-3094 mod_proxy_ftp 模組中的輸入驗證不充分，允許遠端 FTP 伺服器透過 EPSV 命令的格式錯誤回覆，造成拒絕服務 (NULL 指標解除參照與子處理程序損毀)。

  - CVE-2009-3095 mod_proxy_ftp 模組中的輸入驗證不充分，允許經驗證的遠端攻擊者繞過預定的存取限制，並將任意 FTP 命令傳送至 FTP 伺服器。

偵測

Debian DSA-1934-1：apache2 - 多個問題

high Nessus Plugin ID 44799

找不到變更記錄