Debian DSA-3896-1：apache2 - 安全更新

critical Nessus 插件 ID 101013

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

已发现 Apache HTTPD 服务器中存在多个漏洞。- CVE-2017-3167 Emmanuel Dreyfus 报告第三方模块在身份验证阶段之外使用 ap_get_basic_auth_pw() 函数可能导致绕过身份验证要求。- CVE-2017-3169 AdNovum Informatik AG 的 Vasileios Panopoulos 发现当第三方模块在对 HTTPS 端口的 HTTP 请求过程中调用 ap_hook_process_connection() 时，mod_ssl 可能取消引用空指针，从而导致拒绝服务。- CVE-2017-7659 Robert Swiecki 报告特制的 HTTP/2 请求可能导致 mod_http2 取消引用空指针，并使服务器进程崩溃。- CVE-2017-7668 Javier Jimenez 报告 HTTP 严格解析包含一个缺陷，从而导致 ap_find_token() 中发生缓冲区过度读取。远程攻击者可通过利用此缺陷，特制一系列请求标头导致段错误，或强制 ap_find_token() 返回不正确的值。- CVE-2017-7679 ChenQin 和 Hanno Boeck 报告 mod_mime 在发送恶意的内容类型响应标头时可读取超过缓冲区终点之外的一个字节。

解决方案

升级 apache2 程序包。对于旧稳定发行版本 (jessie)，这些问题已在版本 2.4.10-10+deb8u9 中修复。旧稳定发行版本 (jessie) 不受 CVE-2017-7659 的影响。对于稳定发行版本 (stretch)，已在版本 2.4:25-3~deb9u1 中修复这些问题。