Debian DSA-2795-2：lighttpd - 數個弱點
high Nessus Plugin ID 70982
語系：
概要
遠端 Debian 主機缺少安全性更新。說明
在 lighttpd web 伺服器中發現數個弱點。據發現，具有用戶端憑證的 SSL 連線在 lighttpd 的 DSA-2795-1 更新後停止運作。現已套用可為用戶端憑證驗證提供適當識別碼的上游修補程式。
- CVE-2013-4508 據發現，lighttpd 在啟用 SNI (伺服器名稱指示) 時，使用弱式 ssl 密碼。此問題的解決方式是，確保在選取 SNI 時，使用強式 ssl 密碼。
- CVE-2013-4559 clang 靜態分析器用於發現因為未檢查 lighttpd 的 setuid、setgid 和 setgroups 相關呼叫而導致的權限提升問題。現在已正確檢查這些呼叫。
- CVE-2013-4560 clang 靜態分析器用於發現啟用 FAM stat 快取引擎時所導致的釋放後使用問題，現已修正這個問題。
解決方案
升級 lighttpd 套件。針對舊的穩定發行版本 (squeeze)，這些問題已在 1.4.28-2+squeeze1.5 版中修正。
針對穩定的發行版本 (wheezy)，這些問題已在 1.4.31-4+deb7u2 版本中修正。
另請參閱
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=729453
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=729480
https://security-tracker.debian.org/tracker/CVE-2013-4508
https://security-tracker.debian.org/tracker/CVE-2013-4559
https://security-tracker.debian.org/tracker/CVE-2013-4560
https://packages.debian.org/source/squeeze/lighttpd
Plugin 詳細資訊
嚴重性: High
ID: 70982
檔案名稱: debian_DSA-2795.nasl
版本: 1.7
類型: local
代理程式: unix
已發布: 2013/11/21
已更新: 2021/1/11
支援的感應器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.9
CVSS v2
風險因素: High
基本分數: 7.6
時間分數: 5.6
媒介: CVSS2#AV:N/AC:H/Au:N/C:C/I:C/A:C
弱點資訊
CPE: p-cpe:/a:debian:debian_linux:lighttpd, cpe:/o:debian:debian_linux:6.0, cpe:/o:debian:debian_linux:7.0
必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2013/11/17
參考資訊
CVE: CVE-2013-4508, CVE-2013-4559, CVE-2013-4560
DSA: 2795