FreeBSD：mod_pagespeed -- 多個弱點 (178ba4ea-fd40-11e1-b2ae-001fd0af1a4c)

medium Nessus Plugin ID 62068

語系：

概要

遠端 FreeBSD 主機缺少安全性相關更新。

說明

Google 報告：

mod_pagespeed 0.10.22.6 是一個安全性更新，可修正影響舊版的兩個重大問題：

- CVE-2012-4001，自有主機名稱的驗證問題。

- CVE-2012-4360，影響 0.10.19.1 後所有版本的跨網站指令碼攻擊。

第一個問題的影響是可混淆 mod_pagespeed，使其無法判定自己的主機名稱，並誘騙其從其他電腦擷取資源。如果 HTTP 伺服器可存取不提供公開檢視的電腦，這就是一個需要注意的問題。

第二個問題是其允許惡意第三方在執行 mod_pagespeed 的網域內容中，對使用者的瀏覽器執行 JavaScript，進而允許竊取該網站上的使用者 Cookie 或資料。

基於這兩個問題的嚴重性，強烈建議使用者立即更新。

更新後的行為變更：

針對第一個問題的修正，若組態中未明確提及，則 mod_pagespeed 將不會從非 localhost 的電腦擷取資源。這表示如果您需要讓某些其他系統處理伺服器網域中的資源，則您必須明確使用 ModPagespeedMapOriginDomain 或 ModPagespeedDomain 進行授權。