远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2021-1809 公告中提及的多个漏洞的影响。

  - 在 2.4.37 和之前版本的 Apache HTTP Server 2.4 中，mod_session 会在解码会话前检查会话到期时间。这会导致忽略 mod_session_cookie 会话的会话到期时间，因为到期时间在会话解码时才加载。(CVE-2018-17199)

  - Apache HTTP Server 2.4.32 到 2.4.44 mod_proxy_uwsgi 信息泄露和可能的 RCE (CVE-2020-11984)

  - Apache HTTP Server 版本 2.4.20 到 2.4.43 当为 HTTP/2 模块和某些流量边缘模式启用跟踪/调试时，会在错误的连接上执行日志记录语句，导致并发使用内存池。将 mod_http2 的 LogLevel 配置为 info 以上可缓解未修复服务器的漏洞。(CVE-2020-11993)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

检测

Oracle Linux 8：httpd: 2.4 (ELSA-2021-1809)

critical Nessus 插件 ID 149913

版本 1.3