Debian DSA-3325-1：apache2 - 安全更新

medium Nessus 插件 ID 85164

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

已发现 Apache HTTPD 服务器中存在多个漏洞。

- CVE-2015-3183 由于解析分块请求时的缺陷，可能存在 HTTP 请求走私攻击。恶意客户端可强制服务器曲解请求长度，从而在使用中间代理时允许缓存中毒或凭据劫持。

- CVE-2015-3185 “ap_some_auth_required”函数中的设计错误致使 API 在 apache2 2.4.x 中无法使用。这可导致使用此 API 的模块允许访问其他情况下应禁止访问的内容。该补丁自 2.4.16 向后移植新“ap_some_authn_required”API。此问题不影响旧稳定发行版本 (wheezy)。

此外，旧稳定发行版本 (wheezy) 的更新后的程序包删除了 Diffie-Hellman (DH) 参数 1024 位的限制。此限制可能允许具有非常大量计算资源（如民族国家）的攻击者通过预先计算中断 DH 密钥交换。更新后的 apache2 程序包还允许配置自定义 DH 参数。更多信息包含在 changelog.Debian.gz 文件中。这些改进在稳定、测试和不稳定发行版本中已经存在。