Debian DSA-3796-1：apache2 - 安全性更新

medium Nessus Plugin ID 97400

語系：

新推出！弱點優先順序評分 (VPR)

Tenable 會為每個弱點計算動態 VPR。VPR 將弱點資訊與威脅情報和機器學習演算法加以結合，藉此預測攻擊者最有可能利用哪些弱點發動攻擊。查看詳細資訊： VPR 是什麼？它跟 CVSS 有何不同？

VPR 評分： 4.4

Synopsis

遠端 Debian 主機缺少安全性更新。

描述

在 Apache2 HTTP server 中發現數個弱點。- CVE-2016-0736 RedTeam Pentesting GmbH 發現 mod_session_crypto 容易受到 padding oracle 攻擊，攻擊者可藉此猜測到工作階段 cookie。- CVE-2016-2161 Maksim Malyutin 發現對 mod_auth_digest 的惡意輸入會導致伺服器當機，進而造成拒絕服務。- CVE-2016-8743 IBM Security 的 X-Force 研究專家 David Dennerline 及 Regis Leroy 發現 Apache 對於含有大範圍異常空白模式的 HTTP 要求的處理方式有問題。在某些組態中，這可能會導致回應分割或快取污染弱點。為了修正這些問題，此更新將 Apache httpd 可以接受的 HTTP 要求內容設定得更為嚴格。如果會造成不合格用戶端的問題，可以在組態中加入新的「HttpProtocolOptions unsafe」指示詞來放鬆若干檢查。此更新亦解決了全新安裝時未預設啟用 mod_reqtimeout 的問題。