RHEL 6:httpd (RHSA-2015:1249)

medium Nessus 插件 ID 84911

简介

远程 Red Hat 主机缺少一个或多个安全更新。

描述

更新后的 httpd 程序包修复了一个安全问题和多个缺陷并添加了一项增强,现在可用于 Red Hat Enterprise Linux 6。

Red Hat 产品安全团队将此更新评级为具有低安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数,其给出了详细的严重性等级。

httpd 程序包提供 Apache HTTP Server(一款强大、高效、可扩展的 Web 服务器)。

当处理使用分块编码的请求时,在 httpd 处理 HTTP 尾部标头的方式中发现一个缺陷。恶意客户端可使用尾部标头在其他模块执行了标头处理之后设置附加 HTTP 标头。例如,这可导致绕过 mod_headers 定义的标头限制。
(CVE-2013-5704)

此更新还修复以下缺陷:

* 重新加载 httpd 配置之后,未对 mod_proxy 线程的顺序进行检查。删除、添加 mod_proxy 线程或更改其顺序时,其参数和分数可能会混合。在重新加载配置的过程中,已于内部将 mod_proxy 线程的顺序保持一致。(BZ#1149906)

* 首次启动时创建的本地主机证书包含 CA 扩展,导致 httpd 服务返回警告消息。
已使用“-extensions v3_req”选项生成的本地主机证书解决此问题。(BZ#906476)

* 默认 mod_ssl 配置不再支持使用单个 DES、IDEA 或 SEED 加密算法的 SSL 加密套件。(BZ#1086771)

* 在平稳的重新启动过程中,apachectl 脚本未考虑 /etc/sysconfig/httpd 文件中设置的 HTTPD_LANG 变量。因此,后台程序平稳重新启动时,httpd 未使用 HTTPD_LANG 的变更值。已修复该脚本以正确处理 HTTPD_LANG 变量。(BZ#963146)

* 提取文件大于 4 GB 时,mod_deflate 模块无法检查原始文件大小,因此无法提取大型文件。现在,mod_deflate 可以根据 RFC1952 正确检查原始文件大小,也可以压缩大于 4 GB 的文件。(BZ#1057695)

* httpd 服务未在重新启动前检查配置。如果配置中包含错误,则将导致平稳重新启动 httpd 的尝试失败。现在,httpd 将在重新启动前检查配置,如果配置处于不一致状态,则将输出错误消息,同时 httpd 不会停止且不会执行重新启动。
(BZ#1146194)

* 使用“SSLVerifyClient optional_no_ca”和“SSLSessionCache”选项时未正确处理 SSL_CLIENT_VERIFY 环境变量。SSL 会话恢复后, SSL_CLIENT_VERIFY 值将设置为“SUCCESS”而非之前设置的“GENEROUS”。现在在此情况下,SSL_CLIENT_VERIFY 已正确设置为 GENEROUS。(BZ#1149703)

* 读取某些数据之后 SSL 连接将会关闭,ab 实用工具未正确处理此情况。因此, ab 未在 SSL 服务器上正常工作并输出“SSL 读取失败”错误消息。通过此更新,ab 可以在 HTTPS 服务器上按预期方式工作。(BZ#1045477)

* 当客户端提供已撤销的证书时,仅在调试级别创建日志条目。与已撤销证书相关的消息日志级别已提升到 INFO,且现在将向管理员正确通知此情况。(BZ#1161328)

此外,此更新还添加了以下增强:

* 现在可以使用 balancer-manager web 界面或 httpd 配置文件将 mod_proxy 工作线程设置为漏模式 (N)。
漏模式下的工作线程仅接受针对其自身的现有粘着会话并忽略其他所有请求。工作线程会一直等到当前连接到此工作线程的所有客户端完成其工作,然后才会停止。因此,通过漏模式可以对工作线程进行维护,同时不会影响客户端。(BZ#767130)

建议 httpd 用户升级这些更新后的程序包,其中包含用于修正这些问题的向后移植的修补程序,并且添加了上述增强。安装更新后的程序包后,httpd 服务将自动重新启动。

解决方案

更新受影响的数据包。

另见

https://access.redhat.com/errata/RHSA-2015:1249

https://access.redhat.com/security/cve/cve-2013-5704

插件详情

严重性: Medium

ID: 84911

文件名: redhat-RHSA-2015-1249.nasl

版本: 2.13

类型: local

代理: unix

发布时间: 2015/7/22

最近更新时间: 2021/2/5

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: Medium

分数: 4.4

CVSS v2

风险因素: Medium

基本分数: 5

时间分数: 4.4

矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N

漏洞信息

CPE: p-cpe:/a:redhat:enterprise_linux:httpd, p-cpe:/a:redhat:enterprise_linux:httpd-debuginfo, p-cpe:/a:redhat:enterprise_linux:httpd-devel, p-cpe:/a:redhat:enterprise_linux:httpd-manual, p-cpe:/a:redhat:enterprise_linux:httpd-tools, p-cpe:/a:redhat:enterprise_linux:mod_ssl, cpe:/o:redhat:enterprise_linux:6

必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

易利用性: No known exploits are available

补丁发布日期: 2015/7/22

漏洞发布日期: 2014/4/15

参考资料信息

CVE: CVE-2013-5704

BID: 66550

RHSA: 2015:1249