更新后的 apache 程序包修复了安全漏洞：

处理 DAV_WRITE 请求时，2.4.9 之前的 Apache HTTPD 容易遭受 mod_dav 中的拒绝服务攻击 (CVE-2013-6438)。

记录 cookies 时，2.4.9 之前的 Apache HTTPD 容易遭受拒绝服务攻击 (CVE-2014-0098)。

在 mod_status httpd 模块中发现导致基于堆的缓冲区溢出的争用条件缺陷。能够使用线程化多重处理模块 (MPM) 访问服务器上由 mod_status 提供服务的状态页面的远程攻击者可以发送特别构建的请求，以导致 httpd 子进程崩溃，或者可能允许攻击者以 apache 用户的权限执行任意代码 (CVE-2014-0226)。

在 mod_proxy httpd 模块中发现拒绝服务缺陷。远程攻击者可以向配置为使用线程式多重处理模块 (MPM) 的反向代理的服务器发送特别构建的请求，从而导致 httpd 子进程崩溃 (CVE-2014-0117)。

在 httpd 的 mod_deflate 模块处理请求正文解压缩（通过 DEFLATE 输入过滤器配置）的方式中发现拒绝服务缺陷。能够发送其正文需要解压缩的请求的远程攻击者可以利用此缺陷消耗目标系统上的大量系统内存和 CPU (CVE-2014-0118)。

已发现 httpd 的 mod_cgid 模块执行未从标准输入读取数据的 CGI 脚本的方式中存在拒绝服务缺陷。远程攻击者可提交特别构建的请求，以导致 httpd 子进程无限期挂起 (CVE-2014-0231)。

在 mod_cache httpd 模块处理 Content-Type 标头的方式中发现空指针取消引用缺陷。将 Apache HTTP Server 配置为指向启用了缓存的服务器的代理时，恶意 HTTP 服务器可造成 httpd 子进程崩溃 (CVE-2014-3581)。

2.4.10 之前的 Apache HTTP Server 的 mod_lua 模块中的 mod_lua.c 并不支持同一 Lua 授权提供程序用于不同上下文中不同参数的 httpd 配置，这允许远程攻击者通过利用多条 Require 指令来绕过机会型环境下的预期访问限制，这通过指定一个组授权访问某个目录，并授权第二组访问第二个目录的配置所证实 (CVE-2014-8109)。

在 2.4.10 之前的 Apache HTTP Server 的 mod_lua 模块中，某脚本调用 r:wsupgrade() 后，恶意构建的 websockets PING 可造成子进程崩溃 (CVE-2015-0228)。

当处理使用分块编码的请求时，在 httpd 处理 HTTP 尾部标头的方式中发现一个缺陷。恶意客户端可使用尾部标头在其他模块执行了标头处理之后设置附加 HTTP 标头。例如，这可导致绕过 mod_headers 定义的标头限制 (CVE-2013-5704)。

注意：通过此更新，httpd 已修改为不合并 HTTP Trailer 标头与其他 HTTP 请求标头。新引入的配置指令 MergeTrailers 可用于重新启用处理 Trailer 标头的老方法，从而也重新引入了上述缺陷。

此更新还修复以下缺陷：

在此更新之前，如果配置为使用采用 wss: URL 方案的后端服务器，则 mod_proxy_wstunnel 模块无法设置 SSL 连接，从而导致代理连接失败。在这些更新后的程序包中，如果代理到 wss: 后端服务器则使用 SSL (rhbz#1141950)。

来自 Red Hat 安全公告 2014:0921：

更新后的 httpd 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

httpd 程序包提供 Apache HTTP Server（一款强大、高效、可扩展的 Web 服务器）。

在 mod_status httpd 模块中发现导致基于堆的缓冲区溢出的争用条件缺陷。能够访问由 mod_status 在使用线程式多重处理模块 (MPM) 的服务器上提供的状态页面的远程攻击者可以发送特别构建的请求，从而导致 httpd 子进程崩溃或可能允许攻击者以“apache”用户的权限执行任意代码。(CVE-2014-0226)

在 mod_cache httpd 模块中发现空指针取消引用缺陷。将 Apache HTTP Server 用作具有缓存的正向代理时，恶意 HTTP 服务器可导致 httpd 子进程崩溃。(CVE-2013-4352)

在 mod_proxy httpd 模块中发现拒绝服务缺陷。远程攻击者可以向配置为使用线程式多重处理模块 (MPM) 的反向代理的服务器发送特别构建的请求，从而导致 httpd 子进程崩溃。
(CVE-2014-0117)

在 httpd 的 mod_deflate 模块处理请求正文解压缩（通过 DEFLATE 输入过滤器配置）的方式中发现拒绝服务缺陷。能够发送其正文可被解压缩的请求的远程攻击者可利用此缺陷消耗目标系统上过多的系统内存和 CPU。
(CVE-2014-0118)

已发现 httpd 的 mod_cgid 模块执行未从标准输入读取数据的 CGI 脚本的方式中存在拒绝服务缺陷。远程攻击者可提交特别构建的请求，以导致 httpd 子进程无限期挂起。(CVE-2014-0231)

建议所有 httpd 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后的程序包后，httpd 后台程序将自动重新启动。

Marek Kroemeke 发现 mod_proxy 模块未正确处理某些请求。远程攻击者可利用此问题造成服务器停止响应，从而导致拒绝服务。
此问题仅影响 Ubuntu 14.04 LTS。(CVE-2014-0117)

Giancarlo Pellegrino 和 Davide Balzarotti 发现，mod_deflate 模块未正确处理正文解压缩。远程攻击者可利用此问题来造成资源消耗，从而导致拒绝服务。(CVE-2014-0118)

Marek Kroemeke 及其他人发现，mod_status 模块未正确处理某些请求。远程攻击者可利用此问题来造成服务器停止响应，从而导致拒绝服务或者可能执行任意代码。(CVE-2014-0226)

Rainer Jung 发现，mod_cgid 模块未正确处理某些脚本。远程攻击者可利用此问题造成服务器停止响应，从而导致拒绝服务。
(CVE-2014-0231)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

此 apache2 更新修复了以下安全问题：

- 修复了 mod_proxy 在处理特别构建的包含反向代理配置的请求时发生的崩溃，该漏洞可导致服务器崩溃和 DoS 情况。
 CVE-2014-0117

- 新配置选项 CGIDScriptTimeout 在新文件 conf.d/cgid-timeout.conf 中设置为 60s，可防止工作进程在从它们启动的 cgi 停止读取服务器的输入时永远挂起 (DoS)。
 CVE-2014-0231

- 修复了 mod_cache 中的空指针取消引用，该漏洞可造成缓存转发配置时崩溃，从而导致 DoS 情况。CVE-2013-4352

- 修复了解析 Cookie 内容时发生的崩溃，该漏洞会导致对服务器 DoS CVE-2014-0098

- 修复当 mod_status 的访问权限被授予潜在攻击者时记分板处理中的 mod_status 争用条件以及连续堆溢出和信息泄露。CVE-2014-0226

- 修复了从 CDATA 部分到 mod_dav 的空格字符的不正确处理，该漏洞会导致 apache 服务器进程崩溃和 DoS 情况 CVE-2013-6438

远程主机运行的 Mac OS X 10.10.x 版低于 10.10.3。因此，它受到以下组件中多种漏洞的影响：

- Admin Framework
 - Apache
 - ATS
 - Certificate Trust Policy
 - CFNetwork HTTPProtocol
 - CFNetwork Session
 - CFURL
 - CoreAnimation
 - FontParser
 - Graphics Driver
 - Hypervisor
 - ImageIO
 - IOHIDFamily
 - Kernel
 - LaunchServices
 - libnetcore
 - ntp
 - Open Directory Client
 - OpenLDAP
 - OpenSSL
 - PHP
 - QuickLook
 - SceneKit
 - ScreenSharing
 - Security - Code SIgning
 - UniformTypeIdentifiers
 - WebKit

请注意，如果成功利用最严重的问题则可能导致执行任意代码。

Red Hat セキュリティアドバイザリ 2014:0921 から：

複数のセキュリティの問題を解決する更新済みの httpd パッケージが、 Red Hat Enterprise Linux 7 で現在利用可能可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティ上の影響があると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

httpd パッケージにより、強力で効率の良い、拡張可能な Web サーバーである、 Apache HTTP Server が提供されます。

ヒープベースのバッファオーバーフローにつながる競合状態の欠陥が、 mod_status httpd モジュールに見つかりました。スレッドマルチプセッシングモジュール（MPM）を使用しているステータスページにアクセスできるリモートの攻撃者は、特別に細工されたリクエストを送信することができます。これにより、 httpd 子プロセスをクラッシュさせることや、攻撃者が「apache」ユーザーの権限で任意のコードを実行できるようになることがあります。（CVE-2014-0226）

mod_cache httpd モジュールで NULL ポインターデリファレンスの欠陥が見つかりました。Apache HTTP Server がキャッシングとともにフォーワードプロキシとして使用される場合、悪意のある HTTP サーバーは httpd 子プロセスをクラッシュさせることがあります。（CVE-2013-4352）

mod_proxy httpd モジュールに、サービス拒否を引き起こす欠陥が見つかりました。リモートの攻撃者はスレッドマルチプロセッシングモジュール（MPM）を使用するリバースプロキシとして構成されているサーバーに、特別に細工されたリクエストを送信することができます。これにより、httpd 子プロセスがクラッシュします。
（CVE-2014-0117）

httpd の mod_deflate モジュールがリクエスト本文の解凍（DEFLATE 入力フィルターから構成された）を処理している方法で、サービス拒否の欠陥が見つかりました。どの本体を展開するかについてのリクエストを送信できるリモートの攻撃者はこの欠陥を利用して、システムメモリや CPU をターゲットシステムで過剰に消費できます。
（CVE-2014-0118）

httpd の mod_cgid モジュールが標準入力からデータを読み込んでいなかった CGI スクリプトを実行した方法で、サービス拒否の欠陥が見つかりました。リモートの攻撃者は、httpd 子プロセスを無制限にハングさせることのできる特別に細工されたリクエストを送信することができます。（CVE-2014-0231）

httpd の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。更新済みパッケージをインストールすると、httpd デーモンは自動的に再起動されます。

Marek Kroemeke 氏は、mod_proxy モジュールが特定のリクエストを適切に処理していないことを発見しました。リモートの攻撃者がこの問題を悪用してサーバー応答を停止させ、その結果、サービス拒否が発生する可能性があります。
この問題の影響を受けるのは、Ubuntu 14.04 LTSのみです。(CVE-2014-0117) 

Giancarlo Pellegrino 氏と Davide Balzarotti 氏は、mod_deflate モジュールがボディ展開を適切に処理していないことを発見しました。リモートの攻撃者がこの問題を利用して、リソース消費を発生させて、サービス拒否を発生させる可能性があります。(CVE-2014-0118)

Marek Kroemeke 氏たちは、mod_status モジュールが特定のリクエストを適切に処理していないことを発見しました。リモートの攻撃者がこの問題を利用して、サーバーの応答を止めさせて、サービス拒否を引き起こしたり、おそらくは任意のコードを実行する可能性があります。(CVE-2014-0226)

Rainer Jung 氏は、mod_cgid モジュールが特定のスクリプトを適切に処理していないことを発見しました。リモートの攻撃者がこの問題を悪用してサーバー応答を停止させ、その結果、サービス拒否が発生する可能性があります。
(CVE-2014-0231)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

この apache2 の更新は、次のセキュリティの問題を修正します：

- リバースプロキシ構成で特別に細工されたリクエストを処理する mod_proxy のクラッシュを修正します。これにより、サーバーのクラッシュと DoS 状態が引き起こされます。
 CVE-2014-0117

- 新しい構成オプションの CGIDScriptTimeout が新しいファイルの conf.d/cgid-timeout.conf で 60s に設定され、cgi がワーカープロセスから起動され、サーバーからの入力の読み取りを停止した場合に、それらのワーカープロセスが永久にハングするのを防止します（DoS）。
 CVE-2014-0231

- mod_cache の NULL ポンターデリファレンスを修正します。これにより、キャッシュフォーワード構成のクラッシュが発生し、DoS 状態が引き起こされます。CVE-2013-4352

- サーバーの DoS を引き起こす、クッキーコンテンツ解析のクラッシュを修正します CVE-2014-0098

- スコアボードの処理における mod_status 競合状態、継続的なヒープオーバーフロー、および潜在的な攻撃者が mod_status へのアクセス権を取得した場合の情報漏洩を修正します。CVE-2014-0226

- mod_dav の CDATA セクションからの空白文字が不適切に処理されるのを修正します。これにより、apache サーバープロセスでクラッシュと DoS 状態が引き起こされます CVE-2013-6438

Apache HTTP SERVER PROJECT による報告：mod_proxy：スレッド化された MPM を持つリバースプロキシに対する DoS 攻撃（サービス拒否攻撃）を可能にした、Connection ヘッダー処理のクラッシュを修正します。

ヒープバッファオーバーフローにつながる、スコアボード処理の競合状態を修正します。

mod_deflate：DEFLATE 入力フィルター（リクエスト本文を拡大する）は、高度に圧縮された本文によるサービス拒否を避けるために、拡大したリクエスト本文の長さや圧縮比を制限するようになりました。ディレクティブ DeflateInflateLimitRequestBody、DeflateInflateRatioLimit、 DeflateInflateRatioBurst を参照してください。

mod_cgid：stdin を消費しない CGI スクリプトに対するサービス拒否を修正します。この問題は、HTTPD 子プロセスが残留し、スコアボードが埋め尽くされ、徐々にサーバーがハングアップします。デフォルトではクライアント I/O タイムアウト（タイムアウトディレクティブ）が、スクリプトとの通信に適用されるようになりました。CGIDScriptTimeout ディレクティブはスクリプトとの通信に対して異なるタイムアウトを設定するために使用できます。

更新済みの apache パッケージは、以下のセキュリティ脆弱性を修正します：

2.4.9 より前の Apache HTTPD は、DAV_WRITE リクエストを処理する際に、mod_dav でのサービス拒否に脆弱でした（CVE-2013-6438）。

2.4.9 より前の Apache HTTPD は、クッキーを記録する際のサービス拒否に脆弱でした（CVE-2014-0098）。

ヒープベースのバッファオーバーフローにつながる競合状態の欠陥が、 mod_status httpd モジュールに見つかりました。スレッドマルチプセッシングモジュール（MPM）を使用しているステータスページにアクセスできるリモートの攻撃者は、特別に細工されたリクエストを送信することができます。これにより、 httpd 子プロセスをクラッシュさせることや、攻撃者が apache ユーザーの権限で任意のコードを実行できるようになることがあります（CVE-2014-0226）。

mod_proxy httpd モジュールに、サービス拒否を引き起こす欠陥が見つかりました。リモートの攻撃者はスレッドマルチプロセッシングモジュール（MPM）を使用するリバースプロキシとして構成されているサーバーに、特別に細工されたリクエストを送信する可能性があります。これにより、httpd 子プロセスがクラッシュします（CVE-2014-0117）。

httpd の mod_deflate モジュールがリクエスト本体の解凍（DEFLATE 入力フィルターから構成された）を処理していた方法で、サービス拒否の欠陥が見つかりました。どの本体を解凍するかについてのリクエストを送信できるリモートの攻撃者はこの欠陥を利用して、システムメモリや CPU をターゲットシステムで過剰に消費できます（CVE-2014-0118）。

httpd の mod_cgid モジュールが標準入力からデータを読み込んでいなかった CGI スクリプトを実行した方法で、サービス拒否の欠陥が見つかりました。リモートの攻撃者は、httpd 子プロセスを無制限にハングさせることのできる特別に細工されたリクエストを送信することができます（CVE-2014-0231）。

mod_cache httpd モジュールが Content-Type ヘッダーを処理する方法で、 NULL ポインターデリファレンスの欠陥が見つかりました。Apache HTTP Server がキャッシングを有効とするサーバーへのプロキシとして構成される場合、悪意ある HTTP サーバーが、httpd 子プロセスをクラッシュさせる可能性があります（CVE-2014-3581）。

2.4.10 までの Apache HTTP Server の mod_lua モジュールの mod_lua.c は、同じ Lua 承認プロバイダーが異なるコンテキストの異なる引数で使用される httpd 構成をサポートしていません。このため、リモートの攻撃者が、あるグループの承認を指定して、特定のディレクトリにアクセスし、2 番目のグループの承認を指定して、2 番目のディレクトリにアクセスする構成で示されるように、複数の Require ディレクティブを活用して、日和見状況で意図されるアクセス制限をバイパスする可能性があります（CVE-2014-8109）。

2.4.10 までの Apache HTTP Server の mod_lua モジュールで、スクリプト r：wsupgrade() の呼び出し後、悪意をもって細工された websockets PING が子プロセスをクラッシュさせる可能性があります（CVE-2015-0228）。

チャンクされたエンコーディングを使用しているリクエストを処理する際に、 httpd が HTTP Trailer ヘッダーを処理する方法で、欠陥が見つかりました。悪意あるクライアントが、 Trailer ヘッダーを利用して、ヘッダー処理が他のモジュールにより行われた後に追加の HTTP ヘッダーを設定する可能性があります。これにより、たとえば、mod_headers で定義されるヘッダー制限がバイパスされる可能性があります（CVE-2013-5704）。

注：この更新で、httpd は HTTP Trailer ヘッダーを他の HTTP リクエストヘッダーと結合しないように変更されています。新たに導入された構成ディレクティブである MergeTrailers を使用して、Trailer ヘッダーの古い処理方法を再度有効にし、前述の欠陥も再度導入します。

この更新では以下のバグも修正されます。

この更新の前は、wss: URL スキーマを使用してバックエンドのサーバーを使用するように設定されていた場合、mod_proxy_wstunnel モジュールが SSL 接続をセットアップできませんでした。これらの更新済みパッケージでは、wss：バックエンドにプロキシ設定されるなら、SSL が使用されます（rhbz#1141950）。

リモートホストが、バージョン 10.10.3 より前の Mac OS X 10.10.x を実行しています。したがって、次のコンポーネントで複数の脆弱性による影響を受けます：

- Admin Framework
 - Apache
 - ATS
 - Certificate Trust Policy
 - CFNetwork HTTPProtocol
 - CFNetwork Session
 - CFURL
 - CoreAnimation
 - FontParser
 - Graphics Driver
 - Hypervisor
 - ImageIO
 - IOHIDFamily
 - Kernel
 - LaunchServices
 - libnetcore
 - ntp
 - Open Directory Client
 - OpenLDAP
 - OpenSSL
 - PHP
 - QuickLook
 - SceneKit
 - ScreenSharing
 - Security - Code SIgning
 - UniformTypeIdentifiers
 - WebKit

注意：最も深刻な問題の悪用が成功すると、任意のコード実行が発生する可能性があります。

Versions of Apache HTTP server 2.4.6, 2.4.7, and 2.4.9 are unpatched for the following vulnerability:

  - A crash in Connection header handling, which can lead to denial of service against a reverse proxy (CVE-2014-0117)

The remote host is running a version of Mac OS X 10.10.x that is prior to 10.10.3. It is, therefore, affected by multiple vulnerabilities in the following components :

 - Admin Framework
 - Apache
 - ATS
 - Certificate Trust Policy
 - CFNetwork HTTPProtocol
 - CFNetwork Session
 - CFURL
 - CoreAnimation
 - FontParser
 - Graphics Driver
 - Hypervisor
 - ImageIO
 - IOHIDFamily
 - Kernel
 - LaunchServices
 - libnetcore
 - ntp
 - Open Directory Client
 - OpenLDAP
 - OpenSSL
 - PHP
 - QuickLook
 - SceneKit
 - ScreenSharing
 - Security - Code SIgning
 - UniformTypeIdentifiers
 - WebKit

Note that successful exploitation of the most serious issues can result in arbitrary code execution.

ID	名稱	產品	系列	已發布	已更新	嚴重性
82346	Mandriva Linux 安全公告：apache (MDVSA-2015:093)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium
76745	Oracle Linux 7：httpd (ELSA-2014-0921)	Nessus	Oracle Linux Local Security Checks	2014/7/24	2021/1/14	medium
76757	Ubuntu 14.04 LTS：Apache HTTP Server 漏洞 (USN-2299-1)	Nessus	Ubuntu Local Security Checks	2014/7/24	2023/10/20	high
77292	openSUSE 安全更新：apache2 (openSUSE-SU-2014:1044-1)	Nessus	SuSE Local Security Checks	2014/8/21	2021/1/19	medium
82699	Mac OS X 10.10.x < 10.10.3 多种漏洞 (FREAK)	Nessus	MacOS X Local Security Checks	2015/4/10	2024/5/28	critical
76745	Oracle Linux 7：httpd（ELSA-2014-0921）	Nessus	Oracle Linux Local Security Checks	2014/7/24	2021/1/14	medium
76757	Ubuntu 14.04 LTS : Apache HTTP Server の脆弱性 (USN-2299-1)	Nessus	Ubuntu Local Security Checks	2014/7/24	2023/10/20	high
77292	openSUSE セキュリティ更新：apache2（openSUSE-SU-2014:1044-1）	Nessus	SuSE Local Security Checks	2014/8/21	2021/1/19	medium
76614	FreeBSD：apache24 -- いくつかの脆弱性（4364e1f1-0f44-11e4-b090-20cf30e32f6d）	Nessus	FreeBSD Local Security Checks	2014/7/21	2021/1/6	medium
82346	Mandriva Linux セキュリティアドバイザリ：apache（MDVSA-2015:093）	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium
82699	Mac OS X 10.10.x < 10.10.3 複数の脆弱性（FREAK）	Nessus	MacOS X Local Security Checks	2015/4/10	2024/5/28	critical
700213	Apache HTTP Server 2.4.6, 2.4.7, 2.4.9 Vulnerability	Nessus Network Monitor	Web Servers	2014/7/29	2018/9/16	medium
700510	Mac OS X 10.10.x < 10.10.3 Multiple Vulnerabilities	Nessus Network Monitor	Operating System Detection	2019/4/10	2019/4/10	critical

偵測

搜尋 Plugin

medium

medium

high

medium

critical

medium

high

medium

medium

medium

critical

medium

critical