在 Apache HTTPD Server 中發現一個弱點：

- CVE-2012-4557 在 mod_proxy_ajp 連線至回應時間過長的後端伺服器時發現一個瑕疵。若使用特定組態，遠端攻擊者即可傳送特定要求，使後端伺服器進入錯誤狀態，直到重試逾時過期。這可導致暫時性的拒絕服務。

此外，此更新也針對下列問題新增了一個伺服器端減輕措施：

- CVE-2012-4929 如果在以 HTTPS 連線至網頁瀏覽器的情況下使用 SSL/TLS 資料壓縮，攔截式攻擊者便可能取得純文字 HTTP 標頭。此問題又稱為「CRIME」攻擊。此 apache2 更新預設為停用 SSL 壓縮。新的 SSLCompression 指示詞已反向移植，可在「CRIME」攻擊未作用的環境下重新啟用 SSL 資料壓縮。如需詳細資訊，請參閱 SSLCompression 指示詞文件。

偵測

Debian DSA-2579-1：apache2 - 多個問題

medium Nessus Plugin ID 63114

找不到變更記錄