遠端主機執行的 Mac OS X 10.6.x 版本比 10.6.7 版舊。

Mac OS X 10.6.7 包含下列產品的安全性修正程式：

- AirPort
 - Apache
 - AppleScript
 - ATS
 - bzip2
 - CarbonCore
 - ClamAV
 - CoreText
 - File Quarantine
 - HFS
 - ImageIO
 - Image RAW
 - Installer
 - Kerberos
 - Kernel
 - Libinfo
 - libxml
 - Mailman
 - PHP
 - QuickLook
 - QuickTime
 - Ruby
 - Samba
 - Subversion
 - Terminal
 - X11

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 httpd 套件，可修正兩個安全性問題和多個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Apache HTTP Server 是一款流行的 Web 伺服器。

在 Apache HTTP Server 的 mod_proxy 模組處理反向代理伺服器轉送至後端伺服器的要求逾時的方式中發現一個瑕疵。如果代理伺服器已設為重複使用現存後端連線，其可傳回專門提供給特定逾時條件之另一名使用者的回應，而可能導致資訊洩漏。(CVE-2010-2791)

在 Apache HTTP Server 的 mod_dav 模組處理特定要求的方式中發現一個瑕疵。假設遠端攻擊者將特製的要求傳送至伺服器，可導致 httpd 子處理程序損毀。(CVE-2010-1452)

此更新也可修正下列錯誤：

* 由 mod_deflate 提供的 INFLATE 篩選器中有多個問題。
「排清時發生 Inflate 錯誤 -5」錯誤可能已經記錄。此更新將 mod_deflate 從 Apache HTTP Server 2.2.15 更新至較新的上游版本。(BZ#625435)

* 如果 mod_filter 將 DEFLATE 篩選器套用至需要具有內部重新導向之子要求的資源，回應可能會損毀。
(BZ#625451)

* mod_ssl 'SSLRequire' 指示詞中使用的 OID() 函式未正確評估未知類型的延伸模組。(BZ#625452)

建議所有 httpd 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。安裝更新版套件後，必須先重新啟動 httpd 程序，更新才會生效。

根據 web 伺服器的標題，遠端主機上承載的 HP System Management Homepage (SMH) 版本比 7.0 舊。因此，據報會受到以下弱點影響：

- 隨附的 libxslt 程式庫中的「generate-id」函式存在一個錯誤，其允許洩漏堆積記憶體位址。(CVE-2011-0195)

- 存在一個不明的輸入驗證錯誤，可允許跨網站要求偽造攻擊。(CVE-2011-3846)

- 存在不明錯誤，可允許攻擊者透過不明向量發動拒絕服務攻擊。
 (CVE-2012-0135、CVE-2012-1993)

- 隨附的 PHP 版本存有多個弱點。(CVE-2010-3436、CVE-2010-4409、CVE-2010-4645、CVE-2011-1148、CVE-2011-1153、CVE-2011-1464、CVE-2011-1467、CVE-2011-1468、CVE-2011-1470、CVE-2011-1471、CVE-2011-1938、CVE-2011-2202、CVE-2011-2483、CVE-2011-3182、CVE-2011-3189、CVE-2011-3267、CVE-2011-3268)

- 隨附的 Apache 版本存有多個弱點。(CVE-2010-1452、CVE-2010-1623、CVE-2010-2068、CVE-2010-2791、CVE-2011-0419、CVE-2011-1928、CVE-2011-3192、CVE-2011-3348、CVE-2011-3368、CVE-2011-3639)

- 數個隨附元件含有 OpenSSL 程式庫，其中存在多個弱點。
 (CVE-2011-0014、CVE-2011-1468、CVE-2011-1945、CVE-2011-3207、CVE-2011-3210)

- 數個隨附元件含有 Curl 程式庫，其中存在多個弱點。
 (CVE-2009-0037、CVE-2010-0734、CVE-2011-2192)

Apache HTTP Server 2.2.9 的 httpd 中的 mod_proxy，當在 Unix 上執行時，如果在讀取來自持續連線的回應時發生逾時，則不會關閉後端連線，這可允許遠端攻擊者透過正常 HTTP 要求，在隨機情況下，取得針對不同用戶端的潛在敏感回應。注意：
這是與 CVE-2010-2068 相同的問題，但是 OS 和受影響的版本不同。

根據其自我報告的版本編號，遠端主機上安裝的 HP System Management Homepage 版本舊於 6.2。
報告指出這些版本會受到下列弱點的影響：

  - 未適當處理工作階段重新交涉，攻擊者可利用此弱點在攔截式攻擊中插入任意純文字。(CVE-2009-3555)

  - 即使目標指令碼本身並不真正支援檔案上傳，攻擊者也可以使用包含「multipart/form-data」內容的 POST 要求上傳檔案。(CVE-2009-4017)

  - PHP 的「proc_open」函式可遭濫用以繞過「safe_mode_allowed_env_vars」和「safe_mode_protected_env_vars」指示詞。
    (CVE-2009-4018)

  - PHP 未正確保護與「$_SESSION」和「session.save_path」指示詞損毀中斷相關的工作階段資料。(CVE-2009-4143)

  - 應用程式允許任意 URL 重新導向。
    (CVE-2010-1586 和 CVE-2010-3283)

  - Apache 的 mod_proxy_ajp、mod_reqtimeout 和 mod_proxy_http 中存在一個與逾時情形有關的資訊洩漏弱點。注意此問題僅影響 Windows 上的 SMH。
    (CVE-2010-2068)

  - 存在尚不明確的資訊洩漏弱點，經授權的使用者或可利用此弱點存取敏感資訊，進而取得針對 Linux 主機上安裝的 SMH 的 Root 存取權限。(CVE-2010-3009)

  - 存在尚不明的 HTTP 回應分割問題。(CVE-2010-3011)

  - 存在尚不明的跨網站指令碼處理問題。(CVE-2010-3012)

  - 存在尚不明的弱點，可導致敏感資訊從遠端洩漏。
    (CVE-2010-3284)

來自 Red Hat 安全性公告 2010:0659：

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 httpd 套件，可修正兩個安全性問題和多個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Apache HTTP Server 是一款流行的 Web 伺服器。

在 Apache HTTP Server 的 mod_proxy 模組處理反向代理伺服器轉送至後端伺服器的要求逾時的方式中發現一個瑕疵。如果代理伺服器已設為重複使用現存後端連線，其可傳回專門提供給特定逾時條件之另一名使用者的回應，而可能導致資訊洩漏。(CVE-2010-2791)

在 Apache HTTP Server 的 mod_dav 模組處理特定要求的方式中發現一個瑕疵。假設遠端攻擊者將特製的要求傳送至伺服器，可導致 httpd 子處理程序損毀。(CVE-2010-1452)

此更新也可修正下列錯誤：

* 由 mod_deflate 提供的 INFLATE 篩選器中有多個問題。
「排清時發生 Inflate 錯誤 -5」錯誤可能已經記錄。此更新將 mod_deflate 從 Apache HTTP Server 2.2.15 更新至較新的上游版本。(BZ#625435)

* 如果 mod_filter 將 DEFLATE 篩選器套用至需要具有內部重新導向之子要求的資源，回應可能會損毀。
(BZ#625451)

* mod_ssl 'SSLRequire' 指示詞中使用的 OID() 函式未正確評估未知類型的延伸模組。(BZ#625452)

建議所有 httpd 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。安裝更新版套件後，必須先重新啟動 httpd 程序，更新才會生效。

遠端主機執行的 Mac OS X 10.5 版本並未套用安全性更新 2011-001。

此安全性更新包含下列產品的修正程式：

- Apache
 - bzip2
 - ClamAV
 - ImageIO
 - Kerberos
 - Libinfo
 - libxml
 - Mailman
 - PHP
 - QuickLook
 - Ruby
 - X11

根據其標題，遠端主機上執行的 Apache 2.2.x 版本比 2.2.16 舊。因此可能受到多個弱點影響：

  - mod_cache 和 mod_dav 中存在拒絕服務弱點。(CVE-2010-1452)   
  - mod_proxy_ajp、mod_reqtimeout 和 mod_proxy_http 中存在與逾時情形有關的資訊洩漏弱點。請注意，此問題僅影響 Windows、Netware 和 OS/2 上的 Apache。(CVE-2010-2068)

請注意，遠端 Web 伺服器可能實際上並不會受這些弱點影響。Nessus 並未嘗試判定受影響的模組是否正在使用中，也未嘗試檢查問題本身。

根據其標題，遠端主機上安裝的Oracle HTTP Server 版本受到多個弱點的影響。

請注意，Nessus 未驗證是否已套用修補程式或因應措施。

ID	名稱	產品	系列	已發布	已更新	嚴重性
52754	Mac OS X 10.6.x < 10.6.7 多個弱點	Nessus	MacOS X Local Security Checks	2011/3/22	2018/8/22	high
67078	CentOS 5：httpd (CESA-2010:0659)	Nessus	CentOS Local Security Checks	2013/6/29	2021/1/4	medium
58811	HP System Management Homepage < 7.0 多種弱點	Nessus	Web Servers	2012/4/20	2022/4/11	critical
87660	F5 Networks BIG-IP：Apache HTTPD 弱點 (SOL23332326)	Nessus	F5 Networks Local Security Checks	2015/12/30	2021/3/10	medium
49272	HP System Management Homepage < 6.2 多個弱點	Nessus	Web Servers	2010/9/17	2022/4/11	high
68091	Oracle Linux 5：httpd (ELSA-2010-0659)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
52753	Mac OS X 多個弱點 (安全性更新 2011-001)	Nessus	MacOS X Local Security Checks	2011/3/22	2018/7/14	high
48205	Apache 2.2.x < 2.2.16 多個弱點	Nessus	Web Servers	2010/7/30	2018/11/15	medium
69301	Oracle Fusion Middleware Oracle HTTP Server 多個弱點	Nessus	Web Servers	2013/8/11	2018/11/15	critical

偵測

搜尋 Plugin

high

medium

critical

medium

high

medium

high

medium

critical