Fedora 19 : lighttpd-1.4.32-1.fc19 (2013-15345)

medium Nessus Plugin ID 69775

語系：

概要

遠端 Fedora 主機遺漏安全性更新。

說明

有一個重要的拒絕服務 (在 1.4.31 版中) 修正：CVE-2012-5533。

lighttpd 1.4.31 版中有一個瑕疵，遠端攻擊者可利用此瑕疵，在 lighttpd 中引發拒絕服務條件。用戶端可傳送格式錯誤的 Connection 標頭給 lighttpd (例如：‘Connection: TE,,Keep-Alive’)，這可能會使 lighttpd 進入無限迴圈，其會偵測到空白的 token，但不會增加目前的字串位置，從而導致 lighttpd 一遍又一遍地持續讀取’,’。

1.4.31 [1] 中引入了此瑕疵，其中，「無效的讀取」錯誤已修正 [2]。

[1] http://redmine.lighttpd.net/projects/lighttpd/repository/revisions/2830/diff/ [2] http://redmine.lighttpd.net/issues/2413

致謝：

Red Hat 要感謝 Stefan Buhler 報告此問題。
上游確認 McClatchy Interactive, Inc. 的 Jesse Sipprell 為原始報告者。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。