Debian DSA-3325-1：apache2 - 安全性更新

medium Nessus Plugin ID 85164

語系：

概要

遠端 Debian 主機缺少安全性更新。

說明

在 Apache HTTPD 伺服器中發現數個弱點：

- CVE-2015-3183 因為區塊要求剖析中的一個錯誤而可能發動 HTTP 要求走私攻擊。惡意用戶端可強迫伺服器錯誤解譯要求長度，進而允許在中繼 Proxy 使用時，允許快取破壞或認證劫持。

- CVE-2015-3185 「ap_some_auth_required」函式中的設計錯誤會使 API 在 apache2 2.4.x 中不穩定。這可導致使用此 API 的模組在不應允許存取時允許存取。此修正會從 2.4.16 反向移植新的「ap_some_authn_required」API。此問題不會影響舊的穩定發行版本 (wheezy)。

此外，舊的穩定發行版本 (wheezy) 的更新版套件會移除 1024 位元的 Diffie-Hellman (DH) 參數限制。此限制可能會允許擁有非常大型運算資源 (如國家民族) 的攻擊者透過預先運算破壞 DH 金鑰交換。更新版 apache2 套件也允許設定自訂 DH 參數。詳細資訊包含在 changelog.Debian.gz 檔案中。這些改進功能已存在於穩定的、測試中的，以及不穩定的發行版本中。