安全修复：- 已发现 httpd 的 mod_session_crypto 模块未使用任何机制，来验证存储于用户浏览器中加密会话数据的完整性。远程攻击者可利用此缺陷，使用 padding oracle 攻击来解密并修改会话数据。(CVE-2016-0736) - 已发现 httpd 的 mod_auth_digest 模块未正确检查内存分配是否失败。如果服务器使用 HTTP 摘要身份验证，远程攻击者会利用此缺陷，造成 httpd 子流程反复崩溃。(CVE-2016-2161) - 已发现 httpd 中的 HTTP 分析器错误地允许 HTTP 协议规范不允许以未编码形式显示在 HTTP 请求标头中的特定字符。如果 httpd 与以不同方式解释这些字符的代理或后端服务器一起使用，则远程攻击者可能会利用此缺陷将数据注入 HTTP 响应，从而导致代理缓存侵害。(CVE-2016-8743) 注意：针对 CVE-2016-8743 问题的修复导致 httpd 将 ‘400 Bad Request’ 错误返回未严格遵守 HTTP 协议规范的 HTTP 客户端。新引入的配置指令 ‘HttpProtocolOptions Unsafe’ 可用于重新启用不太严格的旧版解析。然而，此类设置也会重新引发 CVE-2016-8743 问题。缺陷修复：- 在顺畅的重启期间唤醒子流程时，如果在重启前就有大量子流程已经激活，则 httpd 父流程可尝试打开超出所需的连接数量。因此，完成顺畅的重启会耗费大量时间。通过此更新，已修复 httpd，将在顺畅重启期间打开的连接数量限制为激活子进程的数量，所述问题不会再发生。- 此前，当与 WebSocket 服务器间的连接关闭时，在容器中运行的 httpd 返回 500 HTTP 状态代码（内部服务器错误）。因此，httpd 服务器无法将正确的 HTTP 状态和数据传递给客户端。通过此更新，httpd 可正确处理所有针对 WebSocket 服务器的代理请求，所述问题不会再发生。- 在使用具有 mod_authnz_ldap 模块的 LDAP 身份验证的配置中，以 AuthLDAPBindDN 指令设置的名称未正确用于针对所有查询绑定至 LDAP 服务器。因此，授权尝试失败。已修复 LDAP 模块，确保可针对 LDAP 查询正确绑定配置名称，使用 LDAP 进行身份验证的操作不会再失败。

检测

Scientific Linux 安全更新：SL7.x（x86_64）中的 httpd

high Nessus 插件 ID 99350

未找到变更日志