httpd 的更新现在可用于 Red Hat Enterprise Linux 7.2 Extended Update Support。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。httpd 程序包提供 Apache HTTP Server（一款强大、高效、可扩展的 Web 服务器）。安全修复：* 已发现 httpd 的 mod_auth_digest 模块在处理某些与摘要认证相关的特定标头时，使用内存前未正确初始化内存。远程攻击者可利用此缺陷，通过向服务器发送特制的请求，披露潜在敏感信息，或者导致 httpd 子进程崩溃。(CVE-2017-9788) * 已发现在身份验证阶段外使用 httpd’s ap_get_basic_auth_pw() API 函数可导致身份验证绕过。若 httpd 使用的模块之一未正确调用 API，远程攻击者可利用此缺陷绕过必要的身份验证。(CVE-2017-3167) *在 httpd 的 mod_ssl 模块中发现空指针取消引用缺陷。若 httpd 使用的其他模块在处理 HTTPS 请求时调用某一 API 函数，远程攻击者可利用此缺陷造成 httpd 子进程崩溃。(CVE-2017-3169) * 在 httpd 的函数 ap_find_token() 中发现缓冲区读取越界缺陷。远程攻击者可利用此缺陷通过特制的 HTTP 请求造成 httpd 子进程崩溃。(CVE-2017-7668) * 在 httpd 的 mod_mime 模块中发现缓冲区读取越界缺陷。获准修改 httpd 的 MIME 配置的用户可利用此缺陷造成 httpd 子进程崩溃。(CVE-2017-7679) * httpd 处理无效和先前未注册的 HTTP 方法的方式中发现释放后重用缺陷，该方法由 .htaccess 文件中使用的 Limit 指令指定。远程攻击者可利用此缺陷公开部分服务器内存，或者导致 httpd 子进程崩溃。(CVE-2017-9798) Red Hat 在此感谢 Hanno Bock 报告 CVE-2017-9798。

检测

RHEL 7 : httpd (RHSA-2017:3193) (Optionsbleed)

critical Nessus 插件 ID 104539

未找到变更日志