lighttpd < 1.4.20 多个漏洞

high Nessus 插件 ID 34332

语言：

简介

远程 Web 服务器受到多个漏洞影响。

描述

根据其标题，远程主机上运行的 lighttpd 版本低于 1.4.20。因此，该服务器受到多个漏洞的影响：

- connection_state_machine() 函数中存在一个拒绝服务漏洞，该漏洞会在下载完成前断开连接时触发。未经身份验证的远程攻击者可利用此漏洞，导致所有活动的 SSL 连接丢失。
(CVE-2008-1531)

- http_request_parse() 函数中存在一个内存泄漏缺陷。未经身份验证的远程攻击者可利用此缺陷，通过大量包含重复请求的请求造成拒绝服务情况。(CVE-2008-4298)

- 存在一个安全绕过漏洞，这是执行 URL 解码之前将 URI 与 url.redirect 和 url.rewrite 配置设置中的模式进行比较所致。
未经身份验证的远程攻击者可利用此漏洞，绕过预期的访问限制，导致敏感信息泄露或修改。
(CVE-2008-4359)

- mod_userdir 中存在一个安全绕过漏洞，这是即使在不区分大小写的操作系统和文件系统上执行区分大小写的比较所致。未经身份验证的远程攻击者可利用此漏洞，绕过预期的访问限制，导致敏感信息泄露。(CVE-2008-4360)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。