SUSE SLES12 安全性更新:apache2 (SUSE-SU-2015:0974-1)

medium Nessus Plugin ID 83945

概要

遠端 SUSE 主機缺少一個或多個安全性更新。

說明

Apache2 已更新,修正了四個安全性問題和一個非安全性錯誤。

已修正下列弱點:

- mod_headers 規則可透過區塊要求繞過。新增「MergeTrailers」指示詞以還原舊版行為。(bsc#871310、CVE-2013-5704)

- Content-Type 中的空值可透過 null 指標解除參照和拒絕服務導致當機。(bsc#899836、CVE-2014-3581)

- 遠端攻擊者可在使用多個含有不同引數的 Require 指示詞時,繞過 mod_lua LuaAuthzProvider 中預定的存取限制。
(bsc#909715、CVE-2014-8109)

- 遠端攻擊者可透過在 Lua 指令碼呼叫 wsupgrade 函式之後傳送特製的 WebSocket Ping 框架,造成拒絕服務 (子處理程序損毀)。(bsc#918352、CVE-2015-0228)

下列非安全性錯誤已修正:

- Apache2 systemd 服務檔案已變更,可修正 apache 在使用加密憑證時,因為系統在開機期間未提示使用者提供密碼,而無法在開機時啟動的情況。(bsc#792309)

此外,現在預設將 mod_imagemap 包含在套件中。
(bsc#923090)

請注意,Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下,嘗試自動清理並將其格式化。

解決方案

若要安裝此 SUSE 安全性更新,請使用 YaST online_update。
或者,也可以執行針對您的產品所列的命令:

SUSE Linux Enterprise Software Development Kit 12:

zypper in -t patch SUSE-SLE-SDK-12-2015-226=1

SUSE Linux Enterprise Server 12:

zypper in -t patch SUSE-SLE-SERVER-12-2015-226=1

若要使您的系統保持在最新狀態,請使用「zypper 修補程式」。

另請參閱

https://bugzilla.suse.com/show_bug.cgi?id=792309

https://bugzilla.suse.com/show_bug.cgi?id=871310

https://bugzilla.suse.com/show_bug.cgi?id=899836

https://bugzilla.suse.com/show_bug.cgi?id=909715

https://bugzilla.suse.com/show_bug.cgi?id=918352

https://bugzilla.suse.com/show_bug.cgi?id=923090

https://www.suse.com/security/cve/CVE-2013-5704/

https://www.suse.com/security/cve/CVE-2014-3581/

https://www.suse.com/security/cve/CVE-2014-8109/

https://www.suse.com/security/cve/CVE-2015-0228/

http://www.nessus.org/u?79aea48c

Plugin 詳細資訊

嚴重性: Medium

ID: 83945

檔案名稱: suse_SU-2015-0974-1.nasl

版本: 2.19

類型: local

代理程式: unix

已發布: 2015/6/2

已更新: 2021/1/6

支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

風險資訊

VPR

風險因素: Medium

分數: 4.4

CVSS v2

風險因素: Medium

基本分數: 5

時間分數: 3.7

媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N

弱點資訊

CPE: p-cpe:/a:novell:suse_linux:apache2, p-cpe:/a:novell:suse_linux:apache2-debuginfo, p-cpe:/a:novell:suse_linux:apache2-debugsource, p-cpe:/a:novell:suse_linux:apache2-example-pages, p-cpe:/a:novell:suse_linux:apache2-prefork, p-cpe:/a:novell:suse_linux:apache2-prefork-debuginfo, p-cpe:/a:novell:suse_linux:apache2-utils, p-cpe:/a:novell:suse_linux:apache2-utils-debuginfo, p-cpe:/a:novell:suse_linux:apache2-worker, p-cpe:/a:novell:suse_linux:apache2-worker-debuginfo, cpe:/o:novell:suse_linux:12

必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2015/4/10

弱點發布日期: 2014/4/15

參考資訊

CVE: CVE-2013-5704, CVE-2014-3581, CVE-2014-8109, CVE-2015-0228

BID: 66550, 71656, 73040, 73041