RHEL 5 / 6：mod_cluster-native (RHSA-2012: 0037)

high Nessus Plugin ID 64019

語系：

概要

遠端 Red Hat 主機缺少安全性更新。

說明

現已提供適用於 Red Hat Enterprise Linux 4、5 和 6 之 JBoss Enterprise Application Platform 5.1.2 的更新版 mod_cluster-native 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

mod_cluster-native 提供適用於 Apache HTTP Server (httpd) 的 mod_cluster 原生版本。mod_cluster 是一種 httpd 型負載平衡器。此類似於 mod_jk，會使用通訊通道將要求從 httpd 轉送至應用程式伺服器節點。

據發現，mod_cluster 允許背景工作節點註冊任何虛擬主機 (vhost)，而無視其他 vhost 套用的安全性限制。在一般環境中，背景工作節點會從內部設定一個 vhost，而另一個會從外部針對提供內容進行設定。遠端攻擊者可利用此缺陷，透過未設定套用安全性限制的外部 vhost，註冊攻擊者控制的背景工作節點，然後使用該背景工作來提供惡意內容、攔截憑證及劫持使用者工作階段。(CVE-2011-4608)

mod_cluster-native 使用者應升級至此更新版套件，其中包含可解決此問題的反向移植修補程式。如需安裝指示，請參閱〈解決方案〉一節。