Oracle Solaris 第三方修補程式更新：lighttpd (cve_2014_2469_denial_of)

medium Nessus Plugin ID 80699

語系：

概要

遠端 Solaris 系統缺少一個第三方軟體的安全性修補程式。

說明

遠端 Solaris 系統缺少處理安全性更新的必要修補程式：

- 1.4.26 版之前的 lighthttpd 和 1.5.x 版 lighttpd 會為針對要求產生的每個讀取作業配置一個緩衝區，這會允許遠端攻擊者將一個要求分解為多個小片段，並以低速率傳送，藉此造成拒絕服務 (記憶體消耗)。(CVE-2010-0295)

- 在 Debian GNU/Linux 上，1.4.28 版之前的 lighthttpd 中，FastCGI PHP 支援的組態檔會在 /tmp 中建立一個含有可預測檔名的通訊端檔案，進而允許本機使用者透過符號連結攻擊或爭用情形，劫持 PHP 控制通訊端及執行未經授權的動作 (例如強制使用不同版本的 PHP)。(CVE-2013-1427)

- 在 Oracle Solaris 11.1 中，Lighthttpd 的不明弱點會允許攻擊者透過不明向量造成拒絕服務。(CVE-2014-2469)