根據其標題，遠端主機上執行的 Apache 2.4.x 版本比 2.4.10 舊。因此，該應用程式受到以下弱點影響：

 - 'mod_proxy' 模組中存在一個瑕疵，可允許攻擊者傳送特製要求至設定為反向代理伺服器的伺服器，進而可能造成子處理程序損毀。此缺陷可能導致拒絕服務攻擊。(CVE-2014-0117)

 - 當設定要求內文解壓縮時，'mod_deflate' 模組中存在一個瑕疵。遠端攻擊者可利用此缺陷造成伺服器消耗大量資源。(CVE-2014-0118)

 - 當有公開可存取的伺服器狀態頁面時，'mod_status' 模組中存在一個瑕疵。攻擊者可利用此缺陷傳送專為造成堆積緩衝區溢位而設計的特別構建要求。(CVE-2014-0226)

 - 'mod_cgid' 模組中存在一個瑕疵，其可操控未消耗標準輸入的 CGI 指令碼，造成子處理程序懸置。遠端攻擊者有可能濫用此瑕疵而造成拒絕服務。(CVE-2014-0231)

 - 使用預設 AcceptFilter 時，2.4.1 至 2.4.9 版本的 WinNT MPM 中存在瑕疵。攻擊者利用特別構建的要求造成應用程式中記憶體洩漏，最終可能導致拒絕服務攻擊。(CVE-2014-3523)

請注意，掃描程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

根據其標題，遠端主機上執行的 Apache 2.4.x 版本比 2.4.10 舊。因此，該應用程式受到以下弱點影響：

  - 'mod_proxy' 模組中存在一個瑕疵，可允許攻擊者傳送特製要求至設定為反向代理伺服器的伺服器，進而可能造成子處理程序損毀。此缺陷可能導致拒絕服務攻擊。(CVE-2014-0117)

  - 當設定要求內文解壓縮時，'mod_deflate' 模組中存在一個瑕疵。遠端攻擊者可利用此缺陷造成伺服器消耗大量資源。(CVE-2014-0118)

  - 當有公開可存取的伺服器狀態頁面時，'mod_status' 模組中存在一個瑕疵。
    攻擊者可利用此缺陷傳送專為造成堆積緩衝區溢位而設計的特別構建要求。(CVE-2014-0226)

  - 'mod_cgid' 模組中存在一個瑕疵，其可操控未消耗標準輸入的 CGI 指令碼，造成子處理程序懸置。遠端攻擊者有可能濫用此瑕疵而造成拒絕服務。
    (CVE-2014-0231)

  - 使用預設 AcceptFilter 時，2.4.1 至 2.4.9 版本的 WinNT MPM 中存在瑕疵。攻擊者利用特別構建的要求造成應用程式中記憶體洩漏，最終可能導致拒絕服務攻擊。(CVE-2014-3523)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

現已提供適用於 Red Hat Enterprise Linux 7 的更新版 httpd 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

httpd 套件提供 Apache HTTP Server，這是一款強大、有效且可延伸的 Web 伺服器。

在 mod_status httpd 模組中發現導致堆積型緩衝區溢位的爭用情形瑕疵。能夠在伺服器上使用階層式多處理模組 (MPM) 存取 mod_status 提供服務之狀態頁面的遠端攻擊者，可能傳送特製要求，導致 httpd 子處理程序損毀，或可能讓攻擊者以‘apache’使用者的權限執行任意程式碼。(CVE-2014-0226)

在 mod_cache httpd 模組中發現一個 NULL 指標解除參照瑕疵。當使用 Apache HTTP Server 轉送含有快取的代理伺服器時，惡意 HTTP 伺服器可能導致 httpd 子處理程序當機。(CVE-2013-4352)

在 mod_proxy httpd 模組中發現一個拒絕服務瑕疵。遠端攻擊者可能傳送特製要求給伺服器，其設定為使用階層式多處理模組 (MPM) 的反向代理伺服器，可能導致 httpd 子處理程序損毀。
(CVE-2014-0117)

在 httpd 的 mod_deflate 模組處理要求內文解壓縮 (透過 DEFLATE 輸入篩選設定) 的方式中發現拒絕服務瑕疵。能夠傳送其內文會遭到解壓縮之要求的遠端攻擊者可能會利用此瑕疵在目標系統上消耗過量系統記憶體與 CPU。
(CVE-2014-0118)

在 httpd 的 mod_cgid 模組執行並非從標準輸入讀取資料之 CGI 指令碼的方式中發現拒絕服務瑕疵。遠端攻擊者可能會提交特製的要求，導致 httpd 子處理程序無限期懸置。(CVE-2014-0231)

建議所有 httpd 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。安裝更新版套件之後，httpd 程序會自動重新啟動。

此更新包含 Apache HTTP Server 的最新穩定版本　httpd 2.4.10。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機執行的 Mac OS X 10.8.5 或 10.9.5 版缺少安全性更新 2015-004。因此，其會受到下列元件中的多個弱點影響：

- Apache
 - ATS
 - Certificate Trust Policy
 - CoreAnimation
 - FontParser
 - Graphics Driver
 - ImageIO
 - IOHIDFamily
 - Kernel
 - LaunchServices
 - Open Directory Client
 - OpenLDAP
 - OpenSSL
 - PHP
 - QuickLook
 - SceneKit
 - Security - Code SIgning
 - UniformTypeIdentifiers

請注意，如果成功惡意利用多數嚴重問題，將會導致任意程式碼執行。

現已提供適用於 Slackware 13.0、13.1、13.37、 14.0、14.1 和最新版本的新 httpd 套件，可修正安全性問題。

遠端 Solaris 系統缺少處理安全性更新的必要修補程式：

- 在 Apache HTTP Server 2.4.6 的 mod_cache 模組中，當啟用快取轉送 Proxy 時，modules/cache/cache_storage.c 中的 cache_invalidate 函式允許遠端 HTTP 伺服器透過觸發遺漏主機名稱值的向量造成拒絕服務 (NULL 指標解除參照與程序損毀)。(CVE-2013-4352)

- 在 Apache HTTP Server 2.4.10 版以前的 2.4.x 版中，當啟用反向代理伺服器時，mod_proxy 模組允許遠端攻擊者透過特製的 HTTP 連線標頭造成拒絕服務 (子處理程序損毀)。(CVE-2014-0117)

- 在 Apache HTTP Server 2.4.10 版以前的版本中，當啟用要求內文解壓縮時，mod_deflate 模組之　mod_deflate.c 中的 deflate_in_filter 函式允許遠端攻擊者透過將特製的要求資料解壓縮至大很多的大小來造成拒絕服務 (資源消耗)。(CVE-2014-0118)

- 在 Apache HTTP Server 2.4.10 版以前的版本中，mod_status 模組中的爭用情形允許遠端攻擊者透過在 modules/generators/mod_status.c 的 status_handler 函式與 modules/lua/lua_request.c 的 lua_ap_scoreboard_worker 函式中觸發不當計分板處理的特製要求造成拒絕服務 (堆積型緩衝區溢位)，或可能取得敏感認證資訊或執行任意程式碼。(CVE-2014-0226)

- Apache HTTP Server 2.4.10 版以前版本中的 mod_cgid 模組沒有逾時機制，這允許遠端攻擊者透過對未從 stdin 檔案描述符號讀取的 CGI 指令碼發出要求來造成拒絕服務 (處理程序懸置)。(CVE-2014-0231)

此更新包含 Apache HTTP Server 的最新穩定版本 httpd 2.4.10，可修正數個安全性問題。

http://www.apache.org/dist/httpd/Announcement2.4.html

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Apache HTTP SERVER PROJECT 報告：mod_proxy：修正 Connection 標頭處理中的損毀，其允許對使用階層式 MPM 的反向代理伺服器發動拒絕服務攻擊。

修正計分板處理中可能導致堆積緩衝區溢位的爭用情形。

mod_deflate：DEFLATE 輸入篩選 (造成要求內文上下凸出) 現在會限制上下凸出的要求內文的長度和壓縮率，以避免透過高度壓縮的內文引發拒絕服務。請參閱指示詞 DeflateInflateLimitRequestBody、DeflateInflateRatioLimit 與 DeflateInflateRatioBurst。

mod_cgid：修正 CGI 指令碼不消耗 stdin 而可能導致延遲 HTTPD 子處理程序填滿計分板，並最終使伺服器懸置的拒絕服務。依照預設，用戶端 I/O 逾時 (逾時指示詞) 現在適用於與指令碼之間的通訊。CGIDScriptTimeout 指示詞可被用來設定與指令碼之間通訊的不同逾時。

更新版 apache 套件可修正多個安全性弱點：

2.4.9 版之前的 Apache HTTPD 處理 DAV_WRITE 要求時，容易受到 mod_dav 中的一個拒絕服務弱點影響 (CVE-2013-6438)。

2.4.9 版之前的 Apache HTTPD 記錄 cookie 時，容易受到一個拒絕服務弱點影響 (CVE-2014-0098)。

在 mod_status httpd 模組中發現導致堆積型緩衝區溢位的爭用情形瑕疵。能夠在伺服器上使用階層式多處理模組 (MPM) 存取 mod_status 提供服務之狀態頁面的遠端攻擊者，可能傳送特製要求，導致 httpd 子處理程序損毀，或可能讓攻擊者以‘apache’使用者的權限執行任意程式碼 (CVE-2014-0226)。

在 mod_proxy httpd 模組中發現一個拒絕服務瑕疵。遠端攻擊者可傳送特製要求給伺服器，而其設定為使用階層式多處理模組 (MPM) 的反向代理伺服器，這可能造成 httpd 子處理程序損毀 (CVE-2014-0117)。

在 httpd 的 mod_deflate 模組處理要求內文解壓縮 (透過 DEFLATE 輸入篩選設定) 的方式中發現拒絕服務瑕疵。能夠傳送其內文會遭到解壓縮之要求的遠端攻擊者可能會利用此瑕疵在目標系統上消耗過量系統記憶體與 CPU (CVE-2014-0118)。

在 httpd 的 mod_cgid 模組執行並非從標準輸入讀取資料之 CGI 指令碼的方式中發現拒絕服務瑕疵。遠端攻擊者可能會提交特製的要求，導致 httpd 子處理程序無限期懸置 (CVE-2014-0231)。

在 mod_cache httpd 模組處理 Content-Type 標頭的方式中，發現一個 NULL 指標解除參照瑕疵。Apache HTTP Server 設為以啟用快取功能的伺服器作為代理伺服器時，惡意的 HTTP Server 可能會造成 httpd 子處理程序損毀 (CVE-2014-3581)。

在 2.4.10 版及其之前版本的 Apache HTTP Server 中，mod_lua 模組的 mod_lua.c 不支援 httpd 組態，而其中相同的 Lua 授權提供者在其他內容中，會使用不同的引數，其允許遠端攻擊者利用多個 Require 指示詞，而有機會繞過預定的存取限制；將組態設為指定授權給一個群組存取特定目錄，而第二個群組有授權存取另一個目錄，此情況即為一例 (CVE-2014-8109)。

在 2.4.10 版及其之前版本的 Apache HTTP Server 的 mod_lua 模組中，指令碼呼叫 r:wsupgrade() 之後出現的惡意特製 websocket PING 可造成子處理程序損毀 (CVE-2015-0228)。

使用區塊編碼處理要求時，在 httpd 處置 HTTP Trailer 標頭的方式中發現一個瑕疵。惡意用戶端可利用 Trailer 標頭，在其他模組執行過標頭處理後設定額外的 HTTP 標頭。舉例而言，這可導致繞過以 mod_headers 定義的標頭限制 (CVE-2013-5704)。

注意：透過此更新，httpd 會修改為不將 HTTP Trailer 標頭和其他 HTTP 要求標頭合併。最新引入的組態指示詞 MergeTrailers 可用於重新啟用 Trailer 標頭的舊處理方式，但其也會重新引入前述瑕疵。

此更新也可修正下列錯誤：

在此更新之前，mod_proxy_wstunnel 模組設定為使用配置為 wss: URL 的後端伺服器時，會無法設定 SSL 連線，這會造成代理連線失敗。在這些更新版套件中，代理設定至 wss: 後端伺服器時會使用 SSL (rhbz#1141950)。

此 apache2 更新可修正下列安全性問題：

- 修正 mod_proxy 處理具有反向代理伺服器組態的特製要求時的當機，避免伺服器發生當機或 DoS 情形。
 CVE-2014-0117

- 在新檔案 conf.d/cgid-timeout.conf 中將新組態選項 CGIDScriptTimeout 設為 60 秒，防止背景工作處理程序在其啟動的 cgi 停止讀取來自伺服器的輸入時發生永遠懸置 (DoS)。
 CVE-2014-0231

- 修正 mod_cache 中會造成快取轉送組態損毀的 NULL 指標解除參照，避免 DoS 情形。CVE-2013-4352

- 修正剖析 Cookie 內容時的當機，避免伺服器出現 DoS CVE-2014-0098

- 修正計分板處理過程中出現的 mod_status 爭用情形，以及若將 mod_status 存取權授予潛在攻擊者，可能會導致的連續堆積溢位和資訊洩漏。CVE-2014-0226

- 修正 CDATA 區段至 mod_dav 的空白字元不當處理，避免 apache 伺服器處理程序發生當機和 DoS 情形 CVE-2013-6438

來自 Red Hat 安全性公告 2014:0921：

現已提供適用於 Red Hat Enterprise Linux 7 的更新版 httpd 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

httpd 套件提供 Apache HTTP Server，這是一款強大、有效且可延伸的 Web 伺服器。

在 mod_status httpd 模組中發現導致堆積型緩衝區溢位的爭用情形瑕疵。能夠在伺服器上使用階層式多處理模組 (MPM) 存取 mod_status 提供服務之狀態頁面的遠端攻擊者，可能傳送特製要求，導致 httpd 子處理程序損毀，或可能讓攻擊者以‘apache’使用者的權限執行任意程式碼。(CVE-2014-0226)

在 mod_cache httpd 模組中發現一個 NULL 指標解除參照瑕疵。當使用 Apache HTTP Server 轉送含有快取的代理伺服器時，惡意 HTTP 伺服器可能導致 httpd 子處理程序當機。(CVE-2013-4352)

在 mod_proxy httpd 模組中發現一個拒絕服務瑕疵。遠端攻擊者可能傳送特製要求給伺服器，其設定為使用階層式多處理模組 (MPM) 的反向代理伺服器，可能導致 httpd 子處理程序損毀。
(CVE-2014-0117)

在 httpd 的 mod_deflate 模組處理要求內文解壓縮 (透過 DEFLATE 輸入篩選設定) 的方式中發現拒絕服務瑕疵。能夠傳送其內文會遭到解壓縮之要求的遠端攻擊者可能會利用此瑕疵在目標系統上消耗過量系統記憶體與 CPU。
(CVE-2014-0118)

在 httpd 的 mod_cgid 模組執行並非從標準輸入讀取資料之 CGI 指令碼的方式中發現拒絕服務瑕疵。遠端攻擊者可能會提交特製的要求，導致 httpd 子處理程序無限期懸置。(CVE-2014-0231)

建議所有 httpd 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。安裝更新版套件之後，httpd 程序會自動重新啟動。

Marek Kroemeke 發現 mod_proxy 模組未正確處理特定要求。遠端攻擊者可利用此問題造成伺服器停止回應，進而導致拒絕服務。
這個問題只會影響 Ubuntu 14.04 LTS。(CVE-2014-0117)

Giancarlo Pellegrino 和 Davide Balzarotti 發現 mod_deflate 模組未正確處理內文解壓縮程序。遠端攻擊者可利用此問題，造成資源消耗，進而導致拒絕服務。(CVE-2014-0118)

Marek Kroemeke 及其他人發現 mod_status 模組未正確處理特定要求。遠端攻擊者可利用此問題造成伺服器停止回應，進而導致拒絕服務或可能執行任意程式碼。(CVE-2014-0226)

Rainer Jung 發現 mod_cgid 模組未正確處理特定指令碼。遠端攻擊者可利用此問題造成伺服器停止回應，進而導致拒絕服務。
(CVE-2014-0231).

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機執行的 Mac OS X 10.10.x 版本比 10.10.3 版舊。因此，其會受到下列元件中的多個弱點影響：

- Admin Framework
 - Apache
 - ATS
 - Certificate Trust Policy
 - CFNetwork HTTPProtocol
 - CFNetwork Session
 - CFURL
 - CoreAnimation
 - FontParser
 - Graphics Driver
 - Hypervisor
 - ImageIO
 - IOHIDFamily
 - Kernel
 - LaunchServices
 - libnetcore
 - ntp
 - Open Directory Client
 - OpenLDAP
 - OpenSSL
 - PHP
 - QuickLook
 - SceneKit
 - ScreenSharing
 - Security - Code SIgning
 - UniformTypeIdentifiers
 - WebKit

請注意，如果成功惡意利用多數嚴重問題，將會導致任意程式碼執行。

ID	名稱	產品	系列	已發布	已更新	嚴重性
98906	Apache 2.4.x < 2.4.10 多個弱點	Web App Scanning	Component Vulnerability	2019/1/9	2023/3/14	high
76622	Apache 2.4.x < 2.4.10 多個弱點	Nessus	Web Servers	2014/7/21	2022/4/11	high
76716	CentOS 7：httpd (CESA-2014:0921)	Nessus	CentOS Local Security Checks	2014/7/24	2021/1/4	medium
76852	Fedora 20 : httpd-2.4.10-1.fc20 (2014-8742)	Nessus	Fedora Local Security Checks	2014/7/26	2021/1/11	medium
82700	Mac OS X 多個弱點 (安全性更新 2015-004) (FREAK)	Nessus	MacOS X Local Security Checks	2015/4/10	2022/2/11	critical
76712	Slackware 13.0 / 13.1 / 13.37 / 14.0 / 14.1 / 最新版本：httpd (SSA:2014-204-01)	Nessus	Slackware Local Security Checks	2014/7/24	2021/1/14	medium
80589	Oracle Solaris 第三方修補程式更新：apache (multiple_denial_of_service_dos5)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	medium
76905	RHEL 7：httpd (RHSA-2014:0921)	Nessus	Red Hat Local Security Checks	2014/7/30	2021/1/14	medium
77207	Fedora 19 : httpd-2.4.10-1.fc19 (2014-9057)	Nessus	Fedora Local Security Checks	2014/8/15	2021/1/11	medium
76614	FreeBSD : apache24 -- 數個弱點 (4364e1f1-0f44-11e4-b090-20cf30e32f6d)	Nessus	FreeBSD Local Security Checks	2014/7/21	2021/1/6	medium
82346	Mandriva Linux 安全性公告：apache (MDVSA-2015:093)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium
77292	openSUSE 安全性更新：apache2 (openSUSE-SU-2014:1044-1)	Nessus	SuSE Local Security Checks	2014/8/21	2021/1/19	medium
76745	Oracle Linux 7：httpd (ELSA-2014-0921)	Nessus	Oracle Linux Local Security Checks	2014/7/24	2021/1/14	medium
76757	Ubuntu 14.04 LTS：Apache HTTP Server 弱點 (USN-2299-1)	Nessus	Ubuntu Local Security Checks	2014/7/24	2023/10/20	high
82699	Mac OS X 10.10.x < 10.10.3 多個弱點 (FREAK)	Nessus	MacOS X Local Security Checks	2015/4/10	2022/2/11	critical

偵測

搜尋 Plugin

high

high

medium

medium

critical

medium

medium

medium

medium

medium

medium

medium

medium

high

critical