CentOS 7:mod_wsgi (CESA-2014:1091)

medium Nessus 插件 ID 77384

简介

远程 CentOS 主机缺少安全更新。

描述

更新后的 mod_wsgi 程序包修复了一个安全问题,现可用于Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数,其给出了详细的严重性等级。

mod_wsgi 适配器是一个 Apache 模块,提供了在 Apache 中托管基于 Python 的 Web 应用程序的符合 WSGI 的接口。

已发现在调用 setuid() 失败的情况下 mod_wsgi 未正确终止权限。如果 mod_wsgi 设置为允许非特权用户运行 WSGI 应用程序,则能够运行 WSGI 应用程序的本地用户可能利用此缺陷升级其在系统上的权限。(CVE-2014-0240)

注意:mod_wsgi 并不会为 WSGI 应用程序提供权限分离。依赖 mod_wsgi 限制或沙盒化 mod_wsgi 应用程序的权限的系统应改为使用具有适当权限分离的不同解决方案。

Red Hat 在此感谢 Graham Dumpleton 报告此问题。
上游感谢原始报告者 Róbert Kisteleki。

建议所有 mod_wsgi 用户升级此更新后的程序包,其中包含用于修正此问题的向后移植的修补程序。

解决方案

更新受影响的 mod_wsgi 程序包。

另见

http://www.nessus.org/u?af852d27

插件详情

严重性: Medium

ID: 77384

文件名: centos_RHSA-2014-1091.nasl

版本: 1.7

类型: local

代理: unix

发布时间: 2014/8/26

最近更新时间: 2021/1/4

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: Medium

基本分数: 6.2

矢量: CVSS2#AV:L/AC:H/Au:N/C:C/I:C/A:C

CVSS 分数来源: CVE-2014-0240

漏洞信息

CPE: p-cpe:/a:centos:centos:mod_wsgi, cpe:/o:centos:centos:7

必需的 KB 项: Host/local_checks_enabled, Host/CentOS/release, Host/CentOS/rpm-list

补丁发布日期: 2014/8/25

漏洞发布日期: 2014/5/27

参考资料信息

CVE: CVE-2014-0240

RHSA: 2014:1091