現已提供適用於 Red Hat Enterprise Linux 6 的 httpd 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。httpd 套件提供 Apache HTTP Server，這是一款強大、有效且可延伸的 Web 伺服器。安全性修正：* 在 httpd 處理無效和之前未註冊的 HTTP 方法 (由在.htaccess 檔案中使用之 Limit 指示詞指定) 的方式中，發現一個釋放後使用缺陷。遠端攻擊者可能會利用此缺陷洩漏部分伺服器記憶體，或造成 httpd 子處理程序損毀。(CVE-2017-9798) * 在 Red Hat Enterprise Linux 6.9 版的 httpd 發現迴歸，造成「Allow」和「Deny」組態行的註解剖析錯誤。網站管理員可能無意中允許所有用戶端存取受限制的 HTTP 資源。(CVE-2017-12171) Red Hat 感謝 Hanno Bock 報告 CVE-2017-9798 和 KAWAHARA Masashi 報告 CVE-2017-12171。

雜湊 (#) 字元與所有 IP 相符：在 httpd 中發現迴歸，造成「Allow」和「Deny」組態行的註解剖析錯誤。網站管理員可能無意中允許所有用戶端存取受限制的 HTTP 資源。(CVE-2017-12171)

執行 MAIN 4.05 版的遠端 NewStart CGSL 主機安裝了受下列弱點影響的 httpd 套件：- 在 Red Hat Enterprise Linux 6.9 版的 httpd 發現迴歸，造成 Allow 和 Deny 組態行的註解剖析錯誤。網站管理員可能無意中允許所有用戶端存取受限制的 HTTP 資源。(CVE-2017-12171) 請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 MiracleLinux 4 主機已安裝受到多個弱點影響的套件如 AXSA:2017-2391:05 公告中所提及。

    * 在 httpd 處理無效和之前未註冊的 HTTP 方法 (由在.htaccess 檔案中使用之 Limit 指示詞指定) 的方式中，發現一個釋放後使用缺陷。遠端攻擊者可能會利用此缺陷洩漏部分伺服器記憶體，或造成 httpd 子處理程序損毀。
    (CVE-2017-9798)
      * 在 httpd 的 Asianux Server 6.9 版本中發現一個回歸造成 Allow 和 Deny 組態行中的註解被錯誤剖析。網頁管理員可意外允許任何用戶端存取受限制的 HTTP 資源。 (CVE-2017-12171) Asianux 感謝 Hanno Bck 報告 CVE-2017-9798 以及 KAWAHARA Masashi 報告 CVE-2017-12171。
    CVE-2017-12171
    ** 保留 ** 此候選編號已由宣佈新安全性問題時將使用該編號的組織或個人所保留。當候選編號公佈時，將會提供此候選編號的詳細資料。
    CVE-2017-9798 如果可在使用者的 .htaccess 檔案中設定 Limit 指示詞或如果 httpd.conf 有某些錯誤設定 (即 Optionsbleed)Apache httpd 可讓遠端攻擊者從處理程序記憶體讀取密碼資料。這會影響 Apache HTTP Server 2.2.34 及之前版本和 2.4.x 至 2.4.27 版。
    嘗試讀取密碼資料時，攻擊者會傳送未經驗證的 OPTIONS HTTP 要求。這是一個釋放後使用問題，因此並不總是會傳送密碼資料，而且特定的資料取決與許多因素，包括設定。透過 server/core.c 中 ap_limit_section 函式的修補程式可封鎖 .htaccess 的惡意利用。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

來自 Red Hat 安全公告 2017:2972： 現已提供適用於 Red Hat Enterprise Linux 6 的 httpd 更新。 Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 httpd 套件提供 Apache HTTP Server，這是一款強大、有效且可延伸的 Web 伺服器。 安全性修正： * 在 httpd 處理無效和之前未註冊的 HTTP 方法 (由在.htaccess 檔案中使用之 Limit 指示詞指定) 的方式中，發現一個釋放後使用缺陷。遠端攻擊者可能會利用此缺陷洩漏部分伺服器記憶體，或造成 httpd 子處理程序損毀。(CVE-2017-9798) * 在 Red Hat Enterprise Linux 6.9 版的 httpd 發現迴歸，造成「Allow」和「Deny」組態行的註解剖析錯誤。網站管理員可能無意中允許所有用戶端存取受限制的 HTTP 資源。 (CVE-2017-12171) Red Hat 感謝 Hanno Bock 通報 CVE-2017-9798，並感謝 KAWAHARA Masashi 通報 CVE-2017-12171。

安全性修正：- 在 httpd 處理無效和之前未註冊的 HTTP 方法 (由在.htaccess 檔案中使用之 Limit 指示詞指定) 的方式中，發現一個釋放後使用缺陷。遠端攻擊者可能會利用此缺陷洩漏部分伺服器記憶體，或造成 httpd 子處理程序損毀。(CVE-2017-9798) - 在 Scientific Linux 6.9 版的 httpd 發現迴歸，造成「Allow」和「Deny」組態行的註解剖析錯誤。網站管理員可能無意中允許所有用戶端存取受限制的 HTTP 資源。(CVE-2017-12171)

ID	名稱	產品	系列	已發布	已更新	嚴重性
104006	RHEL 6：httpd (RHSA-2017:2972) (Optionsbleed)	Nessus	Red Hat Local Security Checks	2017/10/20	2024/11/5	high
104053	CentOS 6：httpd (CESA-2017:2972) (Optionsbleed)	Nessus	CentOS Local Security Checks	2017/10/23	2025/11/18	high
104395	Amazon Linux AMI : httpd (ALAS-2017-921)	Nessus	Amazon Linux Local Security Checks	2017/11/6	2025/11/14	medium
127433	NewStart CGSL MAIN 4.05：httpd 弱點 (NS-SA-2019-0156)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/14	medium
290066	MiracleLinux 4httpd-2.2.15-60.6.0.1.AXS4 (AXSA:2017-2391:05)	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	high
104002	Oracle Linux 6 : httpd (ELSA-2017-2972) (Optionsbleed)	Nessus	Oracle Linux Local Security Checks	2017/10/20	2024/10/22	high
104007	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 httpd (Optionsbleed)	Nessus	Scientific Linux Local Security Checks	2017/10/20	2025/11/18	high

偵測

搜尋 Plugin

high

high

medium

medium

high

high

high