openSUSE 安全更新：apache2 (openSUSE-2012-132)
medium Nessus 插件 ID 74555
语言：
简介
远程 openSUSE 主机缺少安全更新。描述
- httpd-2.2.x-bnc743743-CVE-2012-0053-server_protocol_c-cookie_exposure.diff 解决了 CVE-2012-0053：如果不配置自定义 400 错误代码 ErrorDocument，错误响应可暴露 Cookie。[bnc#743743]- httpd-2.2.x-bnc741243-CVE-2012-0031-scoreboard_handling.diff：
修复了由子进程造成特权父进程在关闭期间崩溃（无效 free()）的一个记分板损坏（共享内存段）。
这评级为低影响。注意：
https://svn.apache.org/viewvc?view=revision&revision=1230065 对 struct global_score 进行了更改，导致了与二进制文件不兼容。以上修补程序中的更改仅达到二进制文件兼容性允许的程度，不过已经完全修复了该漏洞。CVE-2012-0031 [bnc#741243]
- /etc/init.d/apache2：新参数“check-reload”。如果更新程序包后 httpd2 对已删除的二进制文件运行则退出 1，否则退出 0。此参数由经过同样修改的 /etc/logrotate.d/apache2 使用，后者在其预旋脚本中使用“/etc/init.d/apache2 check-reload”。如果已安装了新二进制文件，这些更改将阻止由 cron 执行的 logrotate（妥善地）重新加载 httpd2。相反，将在 stdout 中打印警告，并将此警告记录到系统日志中。如果出现这种情况，将不旋转 apache 的日志，并且不影响正在运行的进程。这会将最大日志旋转损失限制为未经旋转的日志。
此类情况下，必须手动执行“/etc/init.d/apache2 restart”（或“rcapache2 restart”）。[bnc#728876]
- httpd-2.2.x-bnc729181-CVE-2011-3607-int_overflow.diff：针对 server/util.c 中的整数溢出（也称为 CVE-2011-3607）的补丁。
[bnc#729181]
- /etc/sysconfig/apache2 (APACHE_MODULES=...) 中默认启用 mod_reqtimeout.c 模块的构建和配置。这不更改已存在的 sysconfig 文件，仅在安装此程序包时无预先存在的 sysconfig 文件的情况下通过 sysconfig 激活模块。请参阅新文件 /etc/apache2/mod_reqtimeout.conf 以获取可配置项。
对 Slowloris.pl DoS 漏洞（包括以极慢速度提交请求来耗尽请求槽）的帮助。请注意，mod_reqtimeout 基于请求速度下限限制请求，而不是基于上限！CVE-2007-6750 [bnc#738855]。
解决方案
更新受影响的 apache2 程序包。另见
https://bugzilla.novell.com/show_bug.cgi?id=728876
https://bugzilla.novell.com/show_bug.cgi?id=729181
https://bugzilla.novell.com/show_bug.cgi?id=738855
https://bugzilla.novell.com/show_bug.cgi?id=741243
https://bugzilla.novell.com/show_bug.cgi?id=743743
https://svn.apache.org/viewvc?view=revision&revision=1230065
插件详情
严重性: Medium
ID: 74555
文件名: openSUSE-2012-132.nasl
版本: 1.5
类型: local
代理: unix
发布时间: 2014/6/13
最近更新时间: 2021/1/19
支持的传感器: Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.6
CVSS v2
风险因素: Medium
基本分数: 5
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
漏洞信息
CPE: p-cpe:/a:novell:opensuse:apache2, p-cpe:/a:novell:opensuse:apache2-debuginfo, p-cpe:/a:novell:opensuse:apache2-debugsource, p-cpe:/a:novell:opensuse:apache2-devel, p-cpe:/a:novell:opensuse:apache2-event, p-cpe:/a:novell:opensuse:apache2-event-debuginfo, p-cpe:/a:novell:opensuse:apache2-example-pages, p-cpe:/a:novell:opensuse:apache2-itk, p-cpe:/a:novell:opensuse:apache2-itk-debuginfo, p-cpe:/a:novell:opensuse:apache2-prefork, p-cpe:/a:novell:opensuse:apache2-prefork-debuginfo, p-cpe:/a:novell:opensuse:apache2-utils, p-cpe:/a:novell:opensuse:apache2-utils-debuginfo, p-cpe:/a:novell:opensuse:apache2-worker, p-cpe:/a:novell:opensuse:apache2-worker-debuginfo, cpe:/o:novell:opensuse:12.1
必需的 KB 项: Host/local_checks_enabled, Host/SuSE/release, Host/SuSE/rpm-list, Host/cpu
补丁发布日期: 2012/2/16
参考资料信息
CVE: CVE-2007-6750, CVE-2011-3607, CVE-2012-0031, CVE-2012-0053