Debian DSA-3796-1：apache2 - 安全性更新

嚴重性

主題

Debian DSA-3796-1：apache2 - 安全性更新

high Nessus Plugin ID 97400

語系：

新推出！Plugin 嚴重性目前使用 CVSS v3

計算 Plugin 嚴重性已更新為預設使用 CVSS v3 沒有 CVSS v3 評分的 Plugin 會回歸到以 CVSS v2 計算嚴重性。您可在設定下拉式選單中切換顯示嚴重性的喜好設定

Synopsis

遠端 Debian 主機缺少安全性更新。

描述

在 Apache2 HTTP server 中發現數個弱點。- CVE-2016-0736 RedTeam Pentesting GmbH 發現 mod_session_crypto 容易受到 padding oracle 攻擊，攻擊者可藉此猜測到工作階段 cookie。- CVE-2016-2161 Maksim Malyutin 發現對 mod_auth_digest 的惡意輸入會導致伺服器當機，進而造成拒絕服務。- CVE-2016-8743 IBM Security 的 X-Force 研究專家 David Dennerline 及 Regis Leroy 發現 Apache 對於含有大範圍異常空白模式的 HTTP 要求的處理方式有問題。在某些組態中，這可能會導致回應分割或快取污染弱點。為了修正這些問題，此更新將 Apache httpd 可以接受的 HTTP 要求內容設定得更為嚴格。如果會造成不合格用戶端的問題，可以在組態中加入新的「HttpProtocolOptions unsafe」指示詞來放鬆若干檢查。此更新亦解決了全新安裝時未預設啟用 mod_reqtimeout 的問題。