RHEL 5 / 6：mod_cluster-native (RHSA-2012: 0037)

high Nessus 插件 ID 64019

语言：

简介

远程 Red Hat 主机缺少安全更新。

描述

更新后的 mod_cluster-native 程序包修复了一个安全问题，现在可用于支持 Red Hat Enterprise Linux 4、5 和 6 的 JBoss Enterprise Application Platform 5.1.2。

Red Hat 安全响应团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

mod_cluster-native 为 Apache HTTP Server (httpd) 提供了 mod_cluster 本机版本。mod_cluster 是一个基于 httpd 的负载平衡器。和 mod_jk 相似，它使用通信通道将请求从 httpd 转发到应用程序服务器节点。

已发现 mod_cluster 允许在任意虚拟主机 (vhost) 上注册工作线程节点，无论对其他 vhost 应用了何种安全限制。在典型的环境中，将存在一个在内部配置用于工作线程节点的 vhost，以及另一个在外部配置用于提供内容的 vhost。远程攻击者可利用此缺陷，通过未配置为应用安全限制的外部 vhost 注册受攻击者控制的工作线程节点，然后使用此工作线程节点提供恶意内容、拦截凭据和劫持用户会话。(CVE-2011-4608)

mod_cluster-native 用户应升级此更新后的程序包，其中包含用于解决此问题的向后移植的修补程序。有关安装说明，请参阅“解决方案”部分。