Scientific Linux 安全性更新：SL3.x i386/x86_64 上的 httpd

critical Nessus Plugin ID 60636

語系：

概要

遠端 Scientific Linux 主機缺少一個或多個安全性更新。

說明

CVE-2009-1891 httpd：mod_deflate 中可能存有暫時 DoS (CPU 消耗)

CVE-2009-2412 apr、apr-util：記憶體集區 (apr) 與可重定位記憶體 (apr-util) 管理中的整數溢位

在 Apache Portable Runtime (APR) 管理記憶體集區與可重定位記憶體配置的方式中發現多個整數溢位瑕疵，造成堆積型緩衝區溢位。攻擊者可利用這些瑕疵針對記憶體配置發出特製的要求，從而造成拒絕服務 (應用程式損毀)，或可能以使用 APR 程式庫之應用程式的權限執行任意程式碼。(CVE-2009-2412)

在 Apache mod_deflate 模組中發現一個拒絕服務瑕疵。
此模組會繼續壓縮大型檔案，直到壓縮完成為止，即使在壓縮完成之前，要求提供內容的網路連線已關閉也是如此。如果針對大型檔案啟用 mod_deflate，這可能造成 mod_deflate 消耗大量 CPU。(CVE-2009-1891)

此更新也可修正下列錯誤：

- 在某些情況下，Content-Length 標頭會從 HEAD 回應中捨棄。這導致某些網站無法正確與 mod_proxy 搭配使用，例如 www.windowsupdate.com。(BZ#506016)

安裝更新版套件後，必須先重新啟動 httpd 程序，更新才會生效。