來自 Red Hat 安全性公告 2011:0844：

現已提供適用於 Red Hat Enterprise Linux 4、5 和 6 的 apr 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Apache Portable Runtime (APR) 是 Apache HTTP Server 與其他專案使用的可攜性程式庫。其免費提供 C 資料結構和常式的程式庫。

使用 APR_FNM_PATHNAME 比對旗標時，CVE-2011-0419 的修正 (經由 RHSA-2011:0507 發行) 在 apr_fnmatch() 函式中引入了一個無限迴圈瑕疵。遠端攻擊者可能會利用此瑕疵，在使用 apr_fnmatch() 函式的應用程式上引發拒絕服務。(CVE-2011-1928)

注意：此問題會影響使用「Location」指示詞 (附萬用字元 URL) 的 httpd 組態。拒絕服務可在正常作業期間觸發，不用特別需要惡意 HTTP 要求。

此更新亦可解決 apr_fnmatch() 函式重寫造成的其他問題，是解決 CVE-2011-0419 瑕疵的必要項目。

所有 apr 使用者都應升級至這些更新套件，其中包含可更正此問題的反向移植修補程式。使用 apr 程式庫的應用程式 (如 httpd) 必須重新啟動，此更新才會生效。

偵測

Oracle Linux 4 / 5 / 6 : apr (ELSA-2011-0844)

medium Nessus Plugin ID 68284

找不到變更記錄