來自 Red Hat 安全性公告 2013:0130：

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 httpd 套件，可修正多個安全性問題、各種錯誤，並且新增增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

httpd 套件包含 Apache HTTP Server (httpd)，此為 Apache 軟體基金會的 namesake 專案。

在 mod_negotiation 模組中發現輸入清理瑕疵。遠端攻擊者若能以任意名稱在已啟用 MultiViews 選項的目錄中上傳或建立檔案，便可利用這些瑕疵對造訪該網站的使用者發動跨網站指令碼及 HTTP 回應分割攻擊。(CVE-2008-0455、CVE-2008-0456、CVE-2012-2687)

錯誤修正：

* 之前，在執行「mod_ssl」套件的「%post」指令碼之前，不會檢查 /etc/pki/tls/private/localhost.key 檔案是否為有效的金鑰。因此，當 /etc/pki/tls/certs/localhost.crt 不存在且「localhost.key」出現但無效時，使用 mod_ssl 升級 Apache HTTP Server 程序 (httpd) 會失敗。「%post」指令碼已修正，可測試現有的 SSL 金鑰。因此，現在使用 mod_ssl 升級 httpd 可如預期般進行。(BZ#752618)

* 「mod_ssl」模組不支援 FIPS 模式下的作業。
因此，在啟用 FIPS 模式的情況下操作 Red Hat Enterprise Linux 5 時，httpd 會無法啟動。現已套用上游修補程式，如果在 FIPS 模式下操作，將會停用非 FIPS 功能，且 httpd 現在會如預期般啟動。(BZ#773473)

* 在此更新之前，httpd 結束狀態程式碼與 Linux Standard Base (LSB) 不相容。當執行 'service httpd reload' 命令且 httpd 失敗時，傳回的結束狀態程式碼為「0」，而不是如預期的在 1 至 6 的範圍內。現已套用修補程式至 init 指令碼，且現在 httpd 會傳回「1」作為結束狀態程式碼。
(BZ#783242)

* 區塊傳輸編碼詳述於 RFC 2616 中。之前，Apache 伺服器並未正確處理具有 32 位元組或更多的「chunk-size」或「chunk-extension」值的區塊編碼 POST 要求。
因此，當提出這類 POST 要求時，伺服器不會回應。現已套用上游修補程式，因此不會再發生此問題。(BZ#840845)

* 由於迴歸的原因，當 mod_cache 收到無法快取的 304 回應時，會提供錯誤的標頭。因此，壓縮的資料可傳回給用戶端，但卻沒有快取標頭指示該資料是壓縮的。現已套用上游修補程式，在來自快取的資料提供給用戶端之前，會合併回應和快取的標頭。因此，用戶端現在可以正確解譯快取資料。(BZ#845532)

* 在 Proxy 組態中，並未正確處理特定的回應行字串。如果從原始伺服器收到沒有「說明」字串的回應行，則針對非標準狀態程式碼 (例如「450」狀態程式碼)，會傳回「500 內部伺服器錯誤」給用戶端。此錯誤已修正，因此會將原始回應行傳回給用戶端。(BZ#853128)

增強功能：

* 除了先前已引入的「LDAPChaseReferrals」之外，現在也支援組態指示詞「LDAPReferrals」。
(BZ#727342)

* 針對「mod_proxy」的 AJP 支援模組「mod_proxy_ajp」，現在開始支援「ProxyErrorOverride」指示詞。因此，現在可以針對透過 AJP 存取之後端伺服器上執行的 Web 應用程式，設定自訂的錯誤頁面。(BZ#767890)

* 現在可以停用會在套件升級之後自動重新啟動 httpd 服務的「%posttrans」程式碼片段。如果 /etc/sysconfig/httpd-disable-posttrans 檔案存在，則程式碼片段不會重新啟動程序。(BZ#833042)

* 「httpd -S」的輸出現在會包含每個虛擬主機的已設定別名。(BZ#833043)

* 現在，新的憑證變數名稱是由使用「_DN_userID」尾碼的「mod_ssl」所顯露，例如「SSL_CLIENT_S_DN_userID」，其中使用了常用的「userID」之物件識別碼 (OID) 定義，亦即 OID 0.9.2342.19200300.100.1.1。(BZ#840036)

建議所有 httpd 使用者皆升級至這些更新版套件，其可修正這些問題並新增這些增強功能。

偵測

Oracle Linux 5：httpd (ELSA-2013-0130)

medium Nessus Plugin ID 68701

找不到變更記錄