根据其标题，远程主机上运行的 Apache 2.4.x 版本低于 2.4.3。因此，该应用程序受到以下漏洞的影响：

 - 存在与“mod_negotiation”、“Multiviews”和不信任的上传有关的输入验证错误，可导致跨站脚本攻击。(CVE-2012-2687)

 - 存在与“mod_proxy_ajp”和“mod_proxy_http”有关的错误，可允许连接保持打开状态。此条件在结合特别构建的请求时可造成信息泄露。(CVE-2012-3502)

请注意，扫描程序并未对这些问题进行实际测试，而是依赖服务器标题栏中的版本。

更新后的 httpd 程序包修复了两个安全问题和多个缺陷并添加了多种增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

这些 httpd 程序包含有 Apache HTTP Server (httpd)，即 Apache Software Foundation 的 namesake 项目。

在 mod_negotiation Apache HTTP Server 模块中发现输入审查缺陷。能够在启用了 MultiViews 选项的目录中上传或创建任意名称的文件的远程攻击者，可利用此缺陷对访问站点的用户执行跨站脚本攻击。（CVE-2008-0455、CVE-2012-2687）

已发现 mod_proxy_ajp 在负载平衡器模式中用于包含 mod_proxy 的配置时，如果请求处理超时，会将后端服务器标记为失败，即使后端响应了上一个 AJP (Apache JServ Protocol)CPing 请求也一样。能够使后端耗用过多时间来处理请求的远程攻击者可导致 mod_proxy 在重试超时期间不向后端 AJP 服务器发送请求，或在所有后端服务器标记为失败之前不发送请求。(CVE-2012-4557)

这些更新后的 httpd 程序包中包含许多缺陷补丁和增强。空间有限，无法在此公告中记载所有这些更改。有关这些最重要的变更的信息，用户可参阅在“参考”部分中链接的 Red Hat Enterprise Linux 6.4 技术札记。

建议所有 httpd 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并添加了这些增强。安装更新后的程序包后，httpd 后台程序将自动重新启动。

根据其标题，远程主机上运行的 Apache 版本未正确转义 406 响应中的文件名。远程攻击者可利用此漏洞，上传具有特别构建的名称的文件，以注入任意 HTTP 标头或发动跨站脚本攻击。

请注意，Nessus 仅依赖于服务器标题中的版本，因此远程 Web 服务器实际上可能不会受到这些漏洞影响。

更新后的 JBoss Enterprise Application Platform 6.0.1 程序包修复了多种安全问题和各种缺陷，并添加了多项增强，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

此版本可替换 JBoss Enterprise Application Platform 6.0.0，并包含缺陷补丁和多项增强。有关这些最重要更改的信息，请参阅 6.0.1 发行说明，具体内容短期内将于 https://access.redhat.com/knowledge/docs/ 中提供

此更新删除了未使用的已签名 JAR；从 JAR MANIFEST.MF 文件删除未使用的 SHA1 校验和以减少服务器内存占用；将 MANIFEST.MF 添加到之前缺失它的 JAR 文件；并从主程序包删除冗余 Javadoc 文件。(BZ#853551)

安全补丁：

Apache CXF 检查确认已通过支持的标记签名或加密 XML 元素，而不管是否使用正确的标记。远程攻击者可传输无适当安全性的机密信息，并可能避开对通过 Apache CXF 暴露的 Web 服务的访问控制。(CVE-2012-2379)

当使用基于角色的授权配置 EJB 访问时，应使用 JACC 权限确定访问；但是，由于存在缺陷，未调用所配置的授权模块（JACC、XACML 等），且未使用 JACC 权限确定对 EJB 的访问。(CVE-2012-4550)

在 Apache CXF 强制执行客户端上 WS-SecurityPolicy 1.1 的子策略的方式中发现的缺陷，在某些情况下，可能导致客户端无法签名或加密安全策略定向的某些元素，从而引起信息泄露和不安全的信息传输。(CVE-2012-2378)

当配置为“allow-multiple-users”时，在 IronJacamar 认证凭据和返回有效数据源连接的方式中发现一个缺陷。提供正确主题的远程攻击者可获取可能属于特权用户的数据源连接。(CVE-2012-3428)

已发现在某些情况下 Apache CXF 容易遭受 SOAPAction 欺骗攻击。请注意，需对被调用的操作执行 WS 策略验证，攻击必须通过验证才能成功。(CVE-2012-3451)

当不存在 EJB 方法调用的允许角色时，应拒绝所有用户调用。已发现当允许角色列表为空时，org.jboss.as.ejb3.security.AuthorizationInterceptor 中的 processInvocation() 方法未正确授权进行所有方法调用。(CVE-2012-4549)

已发现在应用程序启动过程中可用的 Mojarra 中的 FacesContext 保留在 ThreadLocal 中。未正确地在所有案例中清除引用。因此，如果 JavaServer Faces (JSF) WAR 在应用程序启动过程中调用 FacesContext.getCurrentInstance()，其他 WAR 可访问剩余上下文，并因此获得访问其他 WAR 资源的权限。本地攻击者可利用此缺陷，使用特别构建的部署应用程序访问其他 WAR 资源。(CVE-2012-2672)

在 mod_negotiation Apache HTTP Server 模块中发现输入审查缺陷。能够在启用了 MultiViews 选项的目录中上传或创建任意名称的文件的远程攻击者，可利用此缺陷对访问站点的用户执行跨站脚本攻击。（CVE-2008-0455、CVE-2012-2687）

Red Hat 在此感谢 Apache CXF 项目报告 CVE-2012-2379、CVE-2012-2378 和 CVE-2012-3451。CVE-2012-4550 问题由 Red Hat JBoss EAP 质量工程团队的 Josef Cacek 发现； CVE-2012-3428 和 CVE-2012-4549 由 Red Hat 安全响应小组的 Arun Neelicattu 发现； CVE-2012-2672 由 Red Hat 的 Marek Schmidt 和 Stan Silvert 发现。

警告：应用此更新之前，请备份现有 JBoss Enterprise Application Platform 安装程序和部署的应用程序。有关更多详细信息，请参阅“解决方案”部分。

在 mod_negotiation Apache HTTP Server 模块中发现输入审查缺陷。能够在启用了 MultiViews 选项的目录中上传或创建任意名称的文件的远程攻击者，可利用此缺陷对访问站点的用户执行跨站脚本攻击。（CVE-2008-0455、CVE-2012-2687）

已发现 mod_proxy_ajp 在负载平衡器模式中用于包含 mod_proxy 的配置时，如果请求处理超时，会将后端服务器标记为失败，即使后端响应了上一个 AJP (Apache JServ Protocol)CPing 请求也一样。能够使后端耗用过多时间来处理请求的远程攻击者可导致 mod_proxy 在重试超时期间不向后端 AJP 服务器发送请求，或在所有后端服务器标记为失败之前不发送请求。(CVE-2012-4557)

安装更新后的程序包后，httpd 后台程序将自动重新启动。

来自 Red Hat 安全公告 2013:0512：

更新后的 httpd 程序包修复了两个安全问题和多个缺陷并添加了多种增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

这些 httpd 程序包含有 Apache HTTP Server (httpd)，即 Apache Software Foundation 的 namesake 项目。

在 mod_negotiation Apache HTTP Server 模块中发现输入审查缺陷。能够在启用了 MultiViews 选项的目录中上传或创建任意名称的文件的远程攻击者，可利用此缺陷对访问站点的用户执行跨站脚本攻击。（CVE-2008-0455、CVE-2012-2687）

已发现 mod_proxy_ajp 在负载平衡器模式中用于包含 mod_proxy 的配置时，如果请求处理超时，会将后端服务器标记为失败，即使后端响应了上一个 AJP (Apache JServ Protocol)CPing 请求也一样。能够使后端耗用过多时间来处理请求的远程攻击者可导致 mod_proxy 在重试超时期间不向后端 AJP 服务器发送请求，或在所有后端服务器标记为失败之前不发送请求。(CVE-2012-4557)

这些更新后的 httpd 程序包中包含许多缺陷补丁和增强。空间有限，无法在此公告中记载所有这些更改。有关这些最重要的变更的信息，用户可参阅在“参考”部分中链接的 Red Hat Enterprise Linux 6.4 技术札记。

建议所有 httpd 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并添加了这些增强。安装更新后的程序包后，httpd 后台程序将自动重新启动。

更新后的 httpd 程序包修复了多个安全问题、各种缺陷并添加了增强，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

这些 httpd 程序包含有 Apache HTTP Server (httpd)，即 Apache Software Foundation 的 namesake 项目。

发现 mod_negotiation 模块具有输入审查缺陷。能够在启用 MultiViews 选项的目录中用任意名称上传或创建文件的远程攻击者，可利用这些缺陷，对访问该站点的用户发起跨站脚本和 HTTP 响应拆分攻击。（CVE-2008-0455、CVE-2008-0456、CVE-2012-2687）

缺陷补丁：

* 以前，在运行“mod_ssl”程序包的“%post”脚本以前，没有检查 /etc/pki/tls/private/localhost.key 文件是否是有效密钥。结果，当 /etc/pki/tls/certs/localhost.crt 不存在且“localhost.key”存在但无效时，用 mod_ssl 更新 Apache HTTP Server 后台程序 (httpd) 失败。已修复“%post”脚本，可测试现有 SSL 密钥。因此，现在可用 mod_ssl 正常更新 httpd。(BZ#752618)

* “mod_ssl”模块不支持 FIPS 模式下的操作。
结果，在启用 FIPS 模式的情况下操作 Red Hat Enterprise Linux 5 时，不能启动 httpd 。已应用上游修补程序来禁用非 FIPS 功能（如在 FIPS 模式下操作），并且现在可正常启动 httpd。(BZ#773473)

* 在本次更新之前，httpd 退出状态代码不符合 Linux Standard Base (LSB)。运行“service httpd reload”命令且 httpd 失败时，返回的退出状态代码为“0”，不在正常的 1 至 6 范围内。已将修补程序应用到 init 脚本，现在 httpd 返回的退出状态代码为“1”。
(BZ#783242)

* 分块传输编码在 RFC 2616 中描述。以前，Apache 服务器没有正确处理“chunk-size”或“chunk-extension”值大于等于 32 字节的分块编码 POST 请求。
结果，发出该等 POST 请求时，服务器没有响应。已应用上游修补程序，不再出现该问题。(BZ#840845)

* 由于使用回归，当 mod_cache 收到不可缓存的 304 响应时，没有正确提供标头。结果，可能在缓存标头没有指示所压缩数据的情况下，向客户端返回压缩数据。在向客户端提供缓存数据之前，已应用上游修补程序来合并响应和缓存标头。因此，现在客户端可正确解释缓存数据。(BZ#845532)

* 在代理配置中，没有正确地处理某些响应行字符串。如果从源服务器接收到不具备“描述”字符串的响应行，那么对于非标准状态代码（如“450”状态代码）来说，可能向客户端返回“500 内部服务器错误”。此缺陷已修复，因此向客户端返回的是原始响应行。(BZ#853128)

增强：

* 除了之前引入的“LDAPChaseReferrals”之外，现在还支持配置指令“LDAPReferrals”。
(BZ#727342)

*“mod_proxy”的 AJP 支持模块“mod_proxy_ajp”现在支持“ProxyErrorOverride”指令。结果，现在可以为后端服务器（通过 AJP 访问）上运行的 Web 应用程序配置自定义的错误页面。(BZ#767890)

* 现在可禁用“%posttrans”scriptlet，它在程序包升级后自动重新启动 httpd 服务。如果存在文件 /etc/sysconfig/httpd-disable-posttrans，则 scriptlet 将不会重新启动后台程序。(BZ#833042)

* “httpd -S”的输出现在包括每个虚拟主机的配置别名。(BZ#833043)

* 现在“mod_ssl”可通过“_DN_userID”后缀（如“SSL_CLIENT_S_DN_userID”）暴露新的证书变量名称，该名称使用通用对象标识符 (OID) 对“userID”进行定义，即 OID 0.9.2342.19200300.100.1.1。(BZ#840036)

建议所有 httpd 用户升级这些更新后的程序包，其中修复了这些问题并添加这些增强。

更新后的 JBoss Enterprise Application Platform 6.0.1 程序包修复了多种安全问题和各种缺陷，并添加了多项增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JBoss Enterprise Application Platform 6 是适用于基于 JBoss Application Server 7 的 Java 应用程序的平台。

此版本可替换 JBoss Enterprise Application Platform 6.0.0，并包含缺陷补丁和多项增强。有关这些最重要更改的信息，请参阅 6.0.1 发行说明，具体内容短期内将于 https://access.redhat.com/knowledge/docs/ 中提供

此更新删除了未使用的已签名 JAR；从 JAR MANIFEST.MF 文件删除未使用的 SHA1 校验和以减少服务器内存占用；将 MANIFEST.MF 添加到之前缺失它的 JAR 文件；并从主程序包删除冗余 Javadoc 文件。(BZ#830291)

安全补丁：

Apache CXF 检查确认已通过支持的标记签名或加密 XML 元素，而不管是否使用正确的标记。远程攻击者可传输无适当安全性的机密信息，并可能避开对通过 Apache CXF 暴露的 Web 服务的访问控制。(CVE-2012-2379)

当使用基于角色的授权配置 EJB 访问时，应使用 JACC 权限确定访问；但是，由于存在缺陷，未调用所配置的授权模块（JACC、XACML 等），且未使用 JACC 权限确定对 EJB 的访问。(CVE-2012-4550)

在 Apache CXF 强制执行客户端上 WS-SecurityPolicy 1.1 的子策略的方式中发现的缺陷，在某些情况下，可能导致客户端无法签名或加密安全策略定向的某些元素，从而引起信息泄露和不安全的信息传输。(CVE-2012-2378)

当配置为“allow-multiple-users”时，在 IronJacamar 认证凭据和返回有效数据源连接的方式中发现一个缺陷。提供正确主题的远程攻击者可获取可能属于特权用户的数据源连接。(CVE-2012-3428)

已发现在某些情况下 Apache CXF 容易遭受 SOAPAction 欺骗攻击。请注意，需对被调用的操作执行 WS 策略验证，攻击必须通过验证才能成功。(CVE-2012-3451)

当不存在 EJB 方法调用的允许角色时，应拒绝所有用户调用。已发现当允许角色列表为空时，org.jboss.as.ejb3.security.AuthorizationInterceptor 中的 processInvocation() 方法未正确授权进行所有方法调用。(CVE-2012-4549)

已发现在应用程序启动过程中可用的 Mojarra 中的 FacesContext 保留在 ThreadLocal 中。未正确地在所有案例中清除引用。因此，如果 JavaServer Faces (JSF) WAR 在应用程序启动过程中调用 FacesContext.getCurrentInstance()，其他 WAR 可访问剩余上下文，并因此获得访问其他 WAR 资源的权限。本地攻击者可利用此缺陷，使用特别构建的部署应用程序访问其他 WAR 资源。(CVE-2012-2672)

在 mod_negotiation Apache HTTP Server 模块中发现输入审查缺陷。能够在启用了 MultiViews 选项的目录中上传或创建任意名称的文件的远程攻击者，可利用此缺陷对访问站点的用户执行跨站脚本攻击。（CVE-2008-0455、CVE-2012-2687）

Red Hat 在此感谢 Apache CXF 项目报告 CVE-2012-2379、CVE-2012-2378 和 CVE-2012-3451。CVE-2012-4550 问题由 Red Hat JBoss EAP 质量工程团队的 Josef Cacek 发现； CVE-2012-3428 和 CVE-2012-4549 由 Red Hat 安全响应小组的 Arun Neelicattu 发现； CVE-2012-2672 由 Red Hat 的 Marek Schmidt 和 Stan Silvert 发现。

警告：应用此更新之前，请备份现有 JBoss Enterprise Application Platform 安装程序和部署的应用程序。有关更多详细信息，请参阅“解决方案”部分。

2.2.x 系列中的 Apache HTTP Server 2.2.6 和较早版本、2.0.x 系列中的 Apache HTTP Server 2.0.61 和较早版本以及 1.3.x 系列中的 Apache HTTP Server 1.3.39 和较早版本中 mod_negotiation 模块中的跨站脚本 (XSS) 漏洞允许经过认证的远程用户通过上传名称中包含 XSS 序列和文件扩展名的文件来注入任意 Web 脚本或 HTML，这导致在对该文件的请求中忽略扩展名时 (1)“406 Not Acceptable”或 (2)“300 Multiple Choices”HTTP 响应内的注入。

发现 mod_negotiation 模块具有输入审查缺陷。能够在启用 MultiViews 选项的目录中用任意名称上传或创建文件的远程攻击者，可利用这些缺陷，对访问该站点的用户发起跨站脚本和 HTTP 响应拆分攻击。（CVE-2008-0455、CVE-2008-0456、CVE-2012-2687）

缺陷补丁：

- 以前，在运行“mod_ssl”程序包的“%post”脚本以前，没有检查 /etc/pki/tls/private/localhost.key 文件是否是有效密钥。结果，当 /etc/pki/tls/certs/localhost.crt 不存在且“localhost.key”存在但无效时，用 mod_ssl 更新 Apache HTTP Server 后台程序 (httpd) 失败。
 已修复“%post”脚本，可测试现有 SSL 密钥。因此，现在可用 mod_ssl 正常更新 httpd。

- “mod_ssl”模块不支持 FIPS 模式下的操作。因此，在启用 FIPS 模式的情况下操作 Scientific Linux 5 时，不能启动 httpd。已应用上游修补程序来禁用非 FIPS 功能（如在 FIPS 模式下操作），并且现在可正常启动 httpd。

- 在此更新之前，httpd 退出状态代码不符合 Linux Standard Base (LSB)。运行“service httpd reload”命令且 httpd 失败时，返回的退出状态代码为“0”，不在正常的 1 至 6 范围内。已将修补程序应用到 init 脚本，现在 httpd 返回的退出状态代码为“1”。

- 分块传输编码在 RFC 2616 中描述。
 以前，Apache 服务器没有正确处理“chunk-size”或“chunk-extension”值大于等于 32 字节的分块编码 POST 请求。
 结果，发出该等 POST 请求时，服务器没有响应。已应用上游修补程序，不再出现该问题。

- 由于存在回归，当 mod_cache 收到不可缓存的 304 响应时会错误地提供标头。结果，可能在缓存标头没有指示所压缩数据的情况下，向客户端返回压缩数据。在向客户端提供缓存数据之前，已应用上游修补程序来合并响应和缓存标头。因此，现在客户端可正确解释缓存数据。

- 在代理配置中，没有正确地处理某些响应行字符串。如果从源服务器接收到不具备“描述”字符串的响应行，那么对于非标准状态代码（如“450”状态代码）来说，可能向客户端返回“500 内部服务器错误”。此缺陷已修复，因此向客户端返回的是原始响应行。

增强：

- 除了之前引入的“LDAPChaseReferrals”之外，现在还支持配置指令“LDAPReferrals”。

- “mod_proxy”的 AJP 支持模块“mod_proxy_ajp”现在支持“ProxyErrorOverride”指令。
 结果，现在可以为后端服务器（通过 AJP 访问）上运行的 Web 应用程序配置自定义的错误页面。

- 现在可禁用“%posttrans”scriptlet，它在程序包升级后自动重新启动 httpd 服务。如果存在 /etc/sysconfig/httpd- disable-posttrans 文件，小脚本将不会重新启动后台程序。

- “httpd -S”的输出现在包括每个虚拟主机的配置别名。

- 现在“mod_ssl”可通过“_DN_userID”后缀（如“SSL_CLIENT_S_DN_userID”）暴露新的证书变量名称，该名称使用通用对象标识符 (OID) 对“userID”进行定义，即 OID 0.9.2342.19200300.100.1.1。

此更新包含 Apache HTTP Server 的 2.2.23 版本。

http://www.eu.apache.org/dist/httpd/CHANGES_2.2.23

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

来自 Red Hat 安全公告 2013:0130：

更新后的 httpd 程序包修复了多个安全问题、各种缺陷并添加了增强，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

这些 httpd 程序包含有 Apache HTTP Server (httpd)，即 Apache Software Foundation 的 namesake 项目。

发现 mod_negotiation 模块具有输入审查缺陷。能够在启用 MultiViews 选项的目录中用任意名称上传或创建文件的远程攻击者，可利用这些缺陷，对访问该站点的用户发起跨站脚本和 HTTP 响应拆分攻击。（CVE-2008-0455、CVE-2008-0456、CVE-2012-2687）

缺陷补丁：

* 以前，在运行“mod_ssl”程序包的“%post”脚本以前，没有检查 /etc/pki/tls/private/localhost.key 文件是否是有效密钥。结果，当 /etc/pki/tls/certs/localhost.crt 不存在且“localhost.key”存在但无效时，用 mod_ssl 更新 Apache HTTP Server 后台程序 (httpd) 失败。已修复“%post”脚本，可测试现有 SSL 密钥。因此，现在可用 mod_ssl 正常更新 httpd。(BZ#752618)

* “mod_ssl”模块不支持 FIPS 模式下的操作。
结果，在启用 FIPS 模式的情况下操作 Red Hat Enterprise Linux 5 时，不能启动 httpd 。已应用上游修补程序来禁用非 FIPS 功能（如在 FIPS 模式下操作），并且现在可正常启动 httpd。(BZ#773473)

* 在本次更新之前，httpd 退出状态代码不符合 Linux Standard Base (LSB)。运行“service httpd reload”命令且 httpd 失败时，返回的退出状态代码为“0”，不在正常的 1 至 6 范围内。已将修补程序应用到 init 脚本，现在 httpd 返回的退出状态代码为“1”。
(BZ#783242)

* 分块传输编码在 RFC 2616 中描述。以前，Apache 服务器没有正确处理“chunk-size”或“chunk-extension”值大于等于 32 字节的分块编码 POST 请求。
结果，发出该等 POST 请求时，服务器没有响应。已应用上游修补程序，不再出现该问题。(BZ#840845)

* 由于使用回归，当 mod_cache 收到不可缓存的 304 响应时，没有正确提供标头。结果，可能在缓存标头没有指示所压缩数据的情况下，向客户端返回压缩数据。在向客户端提供缓存数据之前，已应用上游修补程序来合并响应和缓存标头。因此，现在客户端可正确解释缓存数据。(BZ#845532)

* 在代理配置中，没有正确地处理某些响应行字符串。如果从源服务器接收到不具备“描述”字符串的响应行，那么对于非标准状态代码（如“450”状态代码）来说，可能向客户端返回“500 内部服务器错误”。此缺陷已修复，因此向客户端返回的是原始响应行。(BZ#853128)

增强：

* 除了之前引入的“LDAPChaseReferrals”之外，现在还支持配置指令“LDAPReferrals”。
(BZ#727342)

*“mod_proxy”的 AJP 支持模块“mod_proxy_ajp”现在支持“ProxyErrorOverride”指令。结果，现在可以为后端服务器（通过 AJP 访问）上运行的 Web 应用程序配置自定义的错误页面。(BZ#767890)

* 现在可禁用“%posttrans”scriptlet，它在程序包升级后自动重新启动 httpd 服务。如果存在文件 /etc/sysconfig/httpd-disable-posttrans，则 scriptlet 将不会重新启动后台程序。(BZ#833042)

* “httpd -S”的输出现在包括每个虚拟主机的配置别名。(BZ#833043)

* 现在“mod_ssl”可通过“_DN_userID”后缀（如“SSL_CLIENT_S_DN_userID”）暴露新的证书变量名称，该名称使用通用对象标识符 (OID) 对“userID”进行定义，即 OID 0.9.2342.19200300.100.1.1。(BZ#840036)

建议所有 httpd 用户升级这些更新后的程序包，其中修复了这些问题并添加这些增强。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
98901	Apache 2.4.x < 2.4.3 多个漏洞	Web App Scanning	Component Vulnerability	2019/1/9	2023/10/30	high
65145	CentOS 6：httpd (CESA-2013:0512)	Nessus	CentOS Local Security Checks	2013/3/10	2021/1/4	medium
17692	Apache mod_negotiation 多行文件名上传漏洞	Nessus	Web Servers	2011/11/18	2018/11/15	medium
64071	RHEL 5：JBoss EAP (RHSA-2012:1591)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical
64952	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 httpd	Nessus	Scientific Linux Local Security Checks	2013/3/1	2021/1/14	medium
68750	Oracle Linux 6：httpd (ELSA-2013-0512)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
63411	RHEL 5：httpd (RHSA-2013:0130)	Nessus	Red Hat Local Security Checks	2013/1/8	2024/4/27	medium
64072	RHEL 6：JBoss EAP (RHSA-2012:1592)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	critical
85708	F5 Networks BIG-IP：Apache HTTP 服务器漏洞 (SOL17201)	Nessus	F5 Networks Local Security Checks	2015/9/1	2021/3/10	medium
63575	CentOS 5：httpd (CESA-2013:0130)	Nessus	CentOS Local Security Checks	2013/1/17	2021/1/4	medium
63597	Scientific Linux 安全更新：SL5.x i386/x86_64 中的 httpd	Nessus	Scientific Linux Local Security Checks	2013/1/17	2021/1/14	medium
64595	Fedora 17：httpd-2.2.23-1.fc17 (2013-1661)	Nessus	Fedora Local Security Checks	2013/2/13	2021/1/11	medium
64761	RHEL 6：httpd (RHSA-2013:0512)	Nessus	Red Hat Local Security Checks	2013/2/21	2021/1/14	medium
68701	Oracle Linux 5：httpd (ELSA-2013-0130)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium

检测

插件搜索

high

medium

medium

critical

medium

medium

medium

critical

medium

medium

medium

medium

medium

medium