來自 Red Hat 安全性公告 2006:0619：

現已提供適用於 Red Hat Enterprise Linux 3 和 4 的更新版 Apache httpd 套件，可更正數個安全性問題並解決數個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。

Apache HTTP Server 是一款免費提供的常見網頁伺服器。

在傳送至伺服器的無效 Expect 標頭隨未逸出之錯誤訊息傳回至使用者所在的 Apache 中發現一個錯誤。如果受害者遭誘騙而連線至某個網站，並傳送特製的 Expect 標頭，這可讓攻擊者執行跨網站指令碼攻擊。(CVE-2006-3918)

最近發現，當第三方攻擊者無法強制網頁瀏覽器傳送任意的 Expect 標頭時，某些版本的 Flash 外掛程式可以操控要求標頭。
如果可以說服執行這些版本的使用者載入包含惡意 Flash applet 的網頁，可能會對伺服器進行跨網站指令碼攻擊。

在 Red Hat Enterprise Linux 3 和 4 系統上，由於處理格式錯誤之 Expect 標頭時所導致的不相關問題的緣故，如果使用者沒有先取消，則只有在逾時到期 (預設為 2-5 分鐘) 時，才會傳回跨網站指令碼攻擊所產生的頁面。

httpd 使用者應更新至這些錯字勘誤表套件，其中包含一個可更正這些問題的反向移植修補程式。

偵測

Oracle Linux 3 / 4 : httpd (ELSA-2006-0619)

medium Nessus Plugin ID 67402

找不到變更記錄