由于 ETag 标头提供可协助攻击者的敏感信息（如：所请求文件的 inode 编号），导致远程 Web 服务器受到一个信息泄露漏洞影响。

Apache2 webserver 已更新，修复了各种问题。

新增了以下功能：

- 支持至后端 websockets 服务器的 Web 套接字连接隧道。
 (FATE#316880) 修复了以下安全问题：

- Apache HTTP Server 2.2.22 中的 mod_headers 模块允许远程攻击者通过将标头放在用分块传输编码发送的数据的尾部，从而绕过“RequestHeader unset”指令。该补丁还添加了“MergeTrailers”指令以恢复传统行为。(CVE-2013-5704)

- 在 Apache HTTP Server 的 mod_cache 模块中，modules/cache/cache_util.c 中的 cache_merge_headers_out 函数允许远程攻击者通过空 HTTP Content-Type 标头造成拒绝服务（空指针取消引用和应用程序崩溃）。(CVE-2014-3581)

- Apache HTTP Server 允许远程攻击者通过 (1) 显示 inode 号的 ETag 标头或 (2) 显示子进程 ID (PID) 的多部分 MIME 边界获取敏感信息。我们目前认为这并不能阻止攻击者，此补丁基本上只是减少了潜在的信息泄漏。
 (CVE-2003-1418)

以下缺陷已得到修复：

- 将“服务器不可用”情况当成所有 LDAP SDK 的暂时性错误。(bsc#904427)

- 修复了在 > 1 server_rec 中共享证书的情况下启动时存在的分段错误。(bsc#907339)

远程主机上安装的 Oracle HTTP Server 版本受到 LSSL/TLS Module 子组件中的信息泄露漏洞影响。未经认证的远程攻击者可利用此漏洞泄露敏感信息。

远程主机上安装的 Oracle HTTP Server 版本受到多种漏洞的影响：

- libxml2 中存在一个与文件 parser.c 中的 xmlParserHandlePEReference() 函数相关的拒绝服务漏洞，原因是像 doctype prolog 中的实体替换那样在不考虑已启用实体替换或验证的情况下加载外部参数实体。未经认证的远程攻击者可利用此漏洞，通过特别构建的 XML 内容，耗尽系统 CPU、内存或文件描述符资源。(CVE-2014-0191)

- Web Listener 组件中存在一个不明漏洞，允许未经认证的远程攻击者影响可用性。(CVE-2015-1829)

- OSSL 模块中存在一个不明漏洞，允许未经认证的远程攻击者影响机密性。(CVE-2015-4812)

- Web Listener 组件中存在一个不明漏洞，允许经过认证的远程攻击者影响机密性。(CVE-2015-4914)

远程主机上安装的 Oracle HTTP Server 版本受到 Web Listener 子组件中多种漏洞的影响：

- 特别构建的 XML 文件可通过基于堆的缓冲区溢出导致使用 libxml2 库的应用程序崩溃。
 (CVE-2011-1944)

- 启用 mod_setenvif 模块时，“ap_pregsub”函数中的整数溢出允许本地攻击者使用具有构建的 SetEnvIf 指令和 HTTP 请求标头组合的“.htaccess”文件获取权限。(CVE-2011-3607)

- 特别构建的 XML 文件可导致使用 libxml2 的应用程序过度消耗 CPU，从而造成拒绝服务。这也称为线性复杂度问题的“内部实体扩展”。
 (CVE-2013-0338)

- 通过造成越界读取错误，特别构建的 XML 文件可造成使用 libxml2 的应用程序崩溃。(CVE-2013-2877)

- mod_headers 模块中存在一个缺陷，允许远程攻击者注入任意标头。
 通过使用块传输编码将标头放在待发送数据的尾部即可实现此操作。
 (CVE-2013-5704)

- mod_dav 模块中的“dav_xml_get_cdata”函数未正确从 CDATA 部分剥离空格字符。远程攻击者可使用特别构建的 DAV WRITE 请求造成拒绝服务。(CVE-2013-6438)

- mod_log_config 模块中的“log_cookie”函数在截断期间将不会处理特别构建的 cookie，从而允许远程攻击者通过分段错误造成拒绝服务。(CVE-2014-0098)

- libxml2 可加载外部参数实体，即使在禁用实体替换时也是如此。通过特别构建的 XML 文件，远程攻击者可利用此缺陷发起耗尽 CPU 和内存资源的 XML 外部实体 (XXE) 攻击，从而导致拒绝服务。(CVE-2014-0191)

- 使用线程化多重处理模块 (MPM) 的服务器上的 mod_status 模块中存在争用条件。
 如果远程攻击者能够访问 mod_status 提供服务的状态页面，则通过发送特别构建的请求，他们可利用此缺陷造成 httpd 子进程崩溃，或可能以运行 Web 服务器的用户的权限执行任意代码。(CVE-2014-0226)

- 存在特定于 Oracle HTTP Server 的多个不明漏洞，可影响系统的机密性和稳定性。（CVE-2014-6571、CVE-2015-0372、CVE-2015-0386）

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
88098	Apache Server ETag 标头信息泄露	Nessus	Web Servers	2016/1/22	2020/4/27	medium
82657	SuSE 11.3 安全更新：apache2（SAT 修补程序编号 10533）	Nessus	SuSE Local Security Checks	2015/4/9	2021/1/6	medium
92542	Oracle Fusion Middleware Oracle HTTP Server 信息泄露（2016 年 7 月 CPU）	Nessus	Web Servers	2016/7/25	2022/4/11	low
86569	Oracle Fusion Middleware Oracle HTTP Server 多种漏洞（2015 年 10 月 CPU）	Nessus	Web Servers	2015/10/23	2022/4/11	high
81002	Oracle Fusion 中间件 Oracle HTTP Server 多种漏洞（2015 年 1 月 CPU）	Nessus	Web Servers	2015/1/27	2022/4/11	high

检测

插件搜索

medium

medium

low

high

high