为 Slackware 13.0、13.1、13.37、14.0、14.1 以及当前版本提供了用于修复安全问题的新 httpd 程序包。

更新后的 httpd 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

httpd 程序包提供 Apache HTTP Server（一款强大、高效、可扩展的 Web 服务器）。

在 mod_status httpd 模块中发现导致基于堆的缓冲区溢出的争用条件缺陷。能够访问由 mod_status 在使用线程式多重处理模块 (MPM) 的服务器上提供的状态页面的远程攻击者可以发送特别构建的请求，从而导致 httpd 子进程崩溃或可能允许攻击者以“apache”用户的权限执行任意代码。(CVE-2014-0226)

在 mod_cache httpd 模块中发现空指针取消引用缺陷。将 Apache HTTP Server 用作具有缓存的正向代理时，恶意 HTTP 服务器可导致 httpd 子进程崩溃。(CVE-2013-4352)

在 mod_proxy httpd 模块中发现拒绝服务缺陷。远程攻击者可以向配置为使用线程式多重处理模块 (MPM) 的反向代理的服务器发送特别构建的请求，从而导致 httpd 子进程崩溃。
(CVE-2014-0117)

在 httpd 的 mod_deflate 模块处理请求正文解压缩（通过 DEFLATE 输入过滤器配置）的方式中发现拒绝服务缺陷。能够发送其正文可被解压缩的请求的远程攻击者可利用此缺陷消耗目标系统上过多的系统内存和 CPU。
(CVE-2014-0118)

已发现 httpd 的 mod_cgid 模块执行未从标准输入读取数据的 CGI 脚本的方式中存在拒绝服务缺陷。远程攻击者可提交特别构建的请求，以导致 httpd 子进程无限期挂起。(CVE-2014-0231)

建议所有 httpd 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后的程序包后，httpd 后台程序将自动重新启动。

此更新包括 Apache HTTP Server 的最新稳定版本 httpd 2.4.10，修复了多个安全问题。

http://www.apache.org/dist/httpd/Announcement2.4.html

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

- Apache HTTP Server 2.4.6 中，在启用了缓存转发代理时，mod_cache 模块中 modules/cache/cache_storage.c 内的 cache_invalidate 函数允许远程 HTTP 服务器通过触发缺失主机名值的矢量来造成拒绝服务（空指针取消引用和后台程序崩溃）。(CVE-2013-4352)

- 在启用了反向代理时，低于 2.4.10 的 Apache HTTP Server 2.4.x 中的 mod_proxy 模块允许远程攻击者通过构建的 HTTP 连接标头造成拒绝服务（子进程崩溃）。(CVE-2014-0117)

- 低于 2.4.10 的 Apache HTTP Server 中，在启用了请求正文解压缩时，mod_deflate 模块中 mod_deflate.c 内的 deflate_in_filter 函数允许远程攻击者通过构建的请求数据（其解压缩到大得多的大小）造成拒绝服务（资源消耗）。(CVE-2014-0118)

- 低于 2.4.10 的 Apache HTTP Server 中 mod_status 模块中的争用条件允许远程攻击者通过构建的请求造成拒绝服务（基于堆的缓冲区溢出），或者可能获得敏感的凭据信息或执行任意代码，该构建的请求在 modules/generators/mod_status.c 中的 status_handler 函数内和 modules/lua/lua_request.c 中的 lua_ap_scoreboard_worker 函数内触发错误的记分板处理。(CVE-2014-0226)

- 低于 2.4.10 的 Apache HTTP Server 中的 mod_cgid 模块不具有超时机制，这允许远程攻击者通过请求 CGI 脚本（不从其 stdin 文件描述符读取）造成拒绝服务（进程挂起）。(CVE-2014-0231)

远程主机上的 Oracle Secure Global Desktop 版本是 4.63、4.71、5.0 或 5.1。因此，它受到以下组件中的多种漏洞影响：

- Apache HTTP Server
 - Client
 - Gateway JARP module
 - Gateway Reverse Proxy
 - OpenSSL
 - Print Servlet (only in 5.0 / 5.1)
 - SGD SSL Daemon (ttassl)
 - Web Server

Versions of Apache HTTP server 2.4.1 to 2.4.4, 2.4.6, 2.4.7, and 2.4.9 are unpatched for the following vulnerabilities:

  - Memory consumption denial of service in WinNT MPM, which affects installations on the Windows platform (CVE-2014-3523)

  - Race condition in scoreboard handling, which may potentially result in an exploitable heap buffer overflow (CVE-2014-0226)

  - Denial of service when the 'mod_deflate' module attempts to process highly compressed bodies (CVE-2014-0118)

  - Denial of service in 'mod_cgid' module when certain CGI scripts do not consume standard input and thus linger indefinitely, eventually causing the server to hang (CVE-2014-0231)

The remote host is running a version of Mac OS X 10.10.x that is prior to 10.10.3. It is, therefore, affected by multiple vulnerabilities in the following components :

 - Admin Framework
 - Apache
 - ATS
 - Certificate Trust Policy
 - CFNetwork HTTPProtocol
 - CFNetwork Session
 - CFURL
 - CoreAnimation
 - FontParser
 - Graphics Driver
 - Hypervisor
 - ImageIO
 - IOHIDFamily
 - Kernel
 - LaunchServices
 - libnetcore
 - ntp
 - Open Directory Client
 - OpenLDAP
 - OpenSSL
 - PHP
 - QuickLook
 - SceneKit
 - ScreenSharing
 - Security - Code SIgning
 - UniformTypeIdentifiers
 - WebKit

Note that successful exploitation of the most serious issues can result in arbitrary code execution.

ID	名稱	產品	系列	已發布	已更新	嚴重性
76712	Slackware 13.0 / 13.1 / 13.37 / 14.0 / 14.1 / 当前版本：httpd (SSA:2014-204-01)	Nessus	Slackware Local Security Checks	2014/7/24	2021/1/14	medium
76905	RHEL 7：httpd (RHSA-2014:0921)	Nessus	Red Hat Local Security Checks	2014/7/30	2021/1/14	medium
77207	Fedora 19：httpd-2.4.10-1.fc19 (2014-9057)	Nessus	Fedora Local Security Checks	2014/8/15	2021/1/11	medium
80589	Oracle Solaris 第三方修补程序更新：apache (multiple_denial_of_service_dos5)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	medium
80912	Oracle Secure Global Desktop 多种漏洞（2015 年 1 月 CPU） (POODLE)	Nessus	Misc.	2015/1/22	2021/10/25	medium
8343	Apache HTTP Server 2.4.1 to 2.4.4, 2.4.6, 2.4.7, 2.4.9 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2014/7/29	2019/3/6	medium
700510	Mac OS X 10.10.x < 10.10.3 Multiple Vulnerabilities	Nessus Network Monitor	Operating System Detection	2019/4/10	2019/4/10	critical

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

critical