已发现在调用 setuid() 失败的情况下 mod_wsgi 未正确终止权限。如果 mod_wsgi 设置为允许非特权用户运行 WSGI 应用程序，则能够运行 WSGI 应用程序的本地用户可能利用此缺陷升级其在系统上的权限。注意：mod_wsgi 并不会为 WSGI 应用程序提供权限分离。依赖 mod_wsgi 限制或沙盒化 mod_wsgi 应用程序的权限的系统应改为使用具有适当权限分离的不同解决方案。

mod_wsgi 允许在 Apache HTTP Server 上运行 Python 应用程序。已发现远程攻击者可以通过 Content-Type 标头泄漏 mod_wsgi 应用程序的部分内存。

检测

Amazon Linux AMI：mod24_wsgi (ALAS-2014-375)

high Nessus 插件 ID 78318

未找到变更日志