Oracle Linux 3 / 4 : httpd (ELSA-2006-0619)
medium Nessus Plugin ID 67402
語系：
概要
遠端 Oracle Linux 主機缺少一個或多個安全性更新。說明
來自 Red Hat 安全性公告 2006:0619：現已提供適用於 Red Hat Enterprise Linux 3 和 4 的更新版 Apache httpd 套件，可更正數個安全性問題並解決數個錯誤。
Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。
Apache HTTP Server 是一款免費提供的常見網頁伺服器。
在傳送至伺服器的無效 Expect 標頭隨未逸出之錯誤訊息傳回至使用者所在的 Apache 中發現一個錯誤。如果受害者遭誘騙而連線至某個網站，並傳送特製的 Expect 標頭，這可讓攻擊者執行跨網站指令碼攻擊。(CVE-2006-3918)
最近發現，當第三方攻擊者無法強制網頁瀏覽器傳送任意的 Expect 標頭時，某些版本的 Flash 外掛程式可以操控要求標頭。
如果可以說服執行這些版本的使用者載入包含惡意 Flash applet 的網頁，可能會對伺服器進行跨網站指令碼攻擊。
在 Red Hat Enterprise Linux 3 和 4 系統上，由於處理格式錯誤之 Expect 標頭時所導致的不相關問題的緣故，如果使用者沒有先取消，則只有在逾時到期 (預設為 2-5 分鐘) 時，才會傳回跨網站指令碼攻擊所產生的頁面。
httpd 使用者應更新至這些錯字勘誤表套件，其中包含一個可更正這些問題的反向移植修補程式。
解決方案
更新受影響的 httpd 套件。另請參閱
https://oss.oracle.com/pipermail/el-errata/2006-November/000001.html
https://oss.oracle.com/pipermail/el-errata/2007-March/000078.html
Plugin 詳細資訊
嚴重性: Medium
ID: 67402
檔案名稱: oraclelinux_ELSA-2006-0619.nasl
版本: 1.9
類型: local
代理程式: unix
已發布: 2013/7/12
已更新: 2021/1/14
支援的感應器: Frictionless Assessment Agent, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Low
分數: 3.8
CVSS v2
風險因素: Medium
基本分數: 4.3
時間分數: 3.4
媒介: CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N
弱點資訊
CPE: p-cpe:/a:oracle:linux:httpd, p-cpe:/a:oracle:linux:httpd-devel, p-cpe:/a:oracle:linux:httpd-manual, p-cpe:/a:oracle:linux:httpd-suexec, p-cpe:/a:oracle:linux:mod_ssl, cpe:/o:oracle:linux:3, cpe:/o:oracle:linux:4
必要的 KB 項目: Host/local_checks_enabled, Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2006/11/30
弱點發布日期: 2006/7/27
參考資訊
CVE: CVE-2006-3918
BID: 19661
RHSA: 2006:0619