openSUSE 安全更新:apache2 (openSUSE-2015-635) (Logjam)

low Nessus 插件 ID 86285

简介

远程 openSUSE 主机缺少安全更新。

描述

Apache2 已更新,修复了安全问题。

- CVE-2015-3185:Apache HTTP Server 2.4.x 的 server/request.c 的 ap_some_auth_required 函数未考虑到 Require 指令可能与授权设置(而不是认证设置)相关,从而允许远程攻击者通过利用依赖于 2.2 API 行为的模块呈现,绕过机会型环境中的预期访问限制。[bnc#938723]

- CVE-2015-3183:Apache HTTP Server 中的分块传输编码实现未正确解析区块标头,从而允许远程攻击者通过构建的请求(与未正确处理 modules/http/http_filters.c 中大的区块大小值和无效的区块扩展字符相关)发起 HTTP 请求走私攻击。[bnc#938728]

在 openSUSE 13.1 中:

- CVE-2015-4000:修复 Logjam 漏洞:更改默认 SSLCipherSuite 加密字符串以禁用出口级加密套件并部署 Ephemeral Elliptic-Curve Diffie-Hellman (ECDHE) 密码。调整“gensslcert”脚本以产生强大且独特的 Diffie Hellman 群组,并将其附加到服务器证书文件 [bnc#931723]。

解决方案

更新受影响的 apache2 程序包。

另见

https://bugzilla.opensuse.org/show_bug.cgi?id=931723

https://bugzilla.opensuse.org/show_bug.cgi?id=938723

https://bugzilla.opensuse.org/show_bug.cgi?id=938728

插件详情

严重性: Low

ID: 86285

文件名: openSUSE-2015-635.nasl

版本: 2.10

类型: local

代理: unix

发布时间: 2015/10/6

最近更新时间: 2022/12/5

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 4.5

CVSS v2

风险因素: Medium

基本分数: 5

矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N

CVSS v3

风险因素: Low

基本分数: 3.7

矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N

漏洞信息

CPE: p-cpe:/a:novell:opensuse:apache2, p-cpe:/a:novell:opensuse:apache2-debuginfo, p-cpe:/a:novell:opensuse:apache2-debugsource, p-cpe:/a:novell:opensuse:apache2-devel, p-cpe:/a:novell:opensuse:apache2-event, p-cpe:/a:novell:opensuse:apache2-event-debuginfo, p-cpe:/a:novell:opensuse:apache2-example-pages, p-cpe:/a:novell:opensuse:apache2-prefork, p-cpe:/a:novell:opensuse:apache2-prefork-debuginfo, p-cpe:/a:novell:opensuse:apache2-utils, p-cpe:/a:novell:opensuse:apache2-utils-debuginfo, p-cpe:/a:novell:opensuse:apache2-worker, p-cpe:/a:novell:opensuse:apache2-worker-debuginfo, cpe:/o:novell:opensuse:13.1, cpe:/o:novell:opensuse:13.2

必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list

补丁发布日期: 2015/9/25

参考资料信息

CVE: CVE-2015-3183, CVE-2015-3185, CVE-2015-4000