来自 Red Hat 安全公告 2009:0259：

更新后的 mod_auth_mysql 程序包修正了一个安全问题，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队将此更新评级为具有中等安全影响。

mod_auth_mysql 程序包中包含 Apache HTTP Server 的扩展模块，可用于实现针对 MySQL 数据库的 Web 用户认证。

在 mod_auth_mysql 为特定多字节编码字符串执行转义的方式中发现一个缺陷。如果 mod_auth_mysql 配置使用允许将反斜线符号“\”作为字符编码一部分的多字节字符集，远程攻击者可将任意 SQL 命令注入登录请求。(CVE-2008-2384)

注意：此缺陷仅影响非默认安装，在此类安装中，将 AuthMySQLCharacterSet 配置为使用受影响的多字节字符集之一。不使用 AuthMySQLCharacterSet 配置选项的安装不受此缺陷的影响。

建议所有 mod_auth_mysql 用户升级更新后的程序包，其中包含用于解决此问题的向后移植的修补程序。
安装更新后，必须重新启动 httpd daemon 才能使修复生效。

检测

Oracle Linux 5：mod_auth_mysql (ELSA-2009-0259)

high Nessus 插件 ID 67798

未找到变更日志