已在 apache (ASF HTTPD) 中发现并修正了多种漏洞：

使用线程化的 MPM 时，在 2.2.17 到 2.2.21 的 Apache HTTP Server 版本的 mod_log_config 模块的 mod_log_config.c 中，log_cookie 函数未正确处理 %{}C 格式字符串，这允许远程攻击者通过同时缺少名称和值的 Cookie 造成拒绝服务（后台程序崩溃）(CVE-2012-0021)。

Apache HTTP Server 2.2.21 和较早版本中的 scoreboard.c 可能允许本地用户通过修改 scoreboard 共享的内存段中的某种字段以导致对空闲函数的无效调用来造成拒绝服务（关闭期间后台程序崩溃）或者可能造成其他不明影响 (CVE-2012-0031)。

Apache HTTP Server 2.2.x 到 2.2.21 中的 protocol.c 在 Bad Request（又称 400）错误文档的构建期间没有正确限制标头信息，这允许远程攻击者通过涉及 (1) 长或 (2) 畸形标头的矢量结合构建的 Web 脚本来获取 HTTPOnly Cookie 的值 (CVE-2012-0053)。

更新后的程序包已升级到最新的 2.2.22 版本，该版本不易受到此问题的影响。

此外，APR 和 APR-UTIL 已分别升级到最新版本 1.4.5 和 1.4.1，其中包含对之前版本的多项改进。

检测

Mandriva Linux 安全公告：apache (MDVSA-2012:012)

medium Nessus 插件 ID 57819

未找到变更日志