TLS および SSL プロトコルにデザイン上の欠陥が見つかりました。これにより、攻撃者が任意のコンテンツを TLS/SSL 接続の開始時に注入する可能性があります。この攻撃は、TLS および SSL がセッション再ネゴシエーションを処理する方法に関係します。CVE-2009-3555 がこの脆弱性に割り当てられています。

この攻撃に対する部分的な緩和策として、この apache2 更新により、クライアント主導の再ネゴシエーションが無効にされます。これにより、使用中の大多数の Apache 構成の脆弱性が修正されるはずです。

注：これは、問題の完全な修正ではありません。サーバーが再ネゴシエーションを主導する構成では、依然として攻撃が可能です。これは、以下の構成の場合に起こります（更新済みパッケージの変更ログの情報が少し不正確な場合）：

- ディレクトリまたはロケーションのコンテキストで「SSLVerifyClient」ディレクティブが使用されている場合。
 - ディレクトリまたはロケーションのコンテキストで「SSLCipherSuite」ディレクティブが使用されている場合。

回避策として、SSLVerifyClient および SSLCipherSuite だけがサーバーまたは仮想ホストレベルで使用されるように、構成を再調整してください。


この問題の完全な修正には、プロトコル変更が必要です。詳細情報は、この問題に関する個別の告知に含まれています。

さらに、この更新で、Apache の mod_proxy_ftp の以下の問題が修正されます：

- CVE-2009-3094 mod_proxy_ftp モジュールの入力検証が不適切なため、リモート FTP サーバーが EPSV コマンドへの無効な形式の返信を介して、サービス拒否（NULL ポインターデリファレンスおよび子プロセスのクラッシュ）を引き起こす可能性があります。

- CVE-2009-3095 mod_proxy_ftp モジュールの入力検証が不十分なため、リモートの認証された攻撃者が、意図されたアクセス制限をバイパスし、任意の FTP コマンドを FTP サーバーに送信する可能性があります。

Red Hat セキュリティアドバイザリ 2009:1579 から：

複数のセキュリティ問題を修正する更新された httpd パッケージが、現時点で Red Hat Enterprise Linux 3 および 5 に対して利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

Apache HTTP Server は人気のある Web サーバーです。

TLS/SSL（Transport Layer Security/Secure Sockets Layer）プロトコルがセッションの再ネゴシエーションを処理過程に欠陥が見つかりました。
中間攻撃者は、この欠陥を利用して、クライアントのセッションに任意のプレーンテキストを前置する可能性があります（例えば、 Web サイトへの HTTPS 接続）。これにより、攻撃者のリクエストをまるで被害者の認証情報を使用して認証されたかのようにサーバーに無理に処理させることができます。この更新は、クライアントが要求する再ネゴシエーションを拒否することで、mod_ssl を使用する HTTP サーバーとの SSL セッションに関する欠陥を部分的に軽減します。
(CVE-2009-3555)

注：この更新では、HTTPS サーバーの問題は完全には解決されません。
サーバー主導の再ネゴシエーションが必要な構成で、攻撃が可能なままです。詳細については、次の Knowledge Base の記事を参照してください：
http://kbase.redhat.com/faq/docs/DOC-20491

Apache mod_proxy_ftp モジュールに NULL ポインターデリファレンスの欠陥が見つかりました。リクエストがプロキシされている悪意のある FTP サーバーが、この欠陥を利用して、 EPSV または PASV コマンドに対する無効な形式の返信により、httpd の子プロセスをクラッシュさせる可能性があります。これにより、限定的なサービス拒否が引き起こされます。(CVE-2009-3094)

Apache mod_proxy_ftp モジュールに第 2 の欠陥が見つかりました。リバースプロキシ構成で、リモートの攻撃者が、この欠陥を利用して、注意深く細工された HTTP Authorization ヘッダーを作成することにより、本来守られるべきアクセス制限をバイパスする可能性があります。これにより、攻撃者が任意のコマンドを FTP サーバーに送信することが可能になります。(CVE-2009-3095)

httpd の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。更新したパッケージをインストールした後、更新を有効にするために httpd デーモンを再起動する必要があります。

CVE-2009-1891 httpd：mod_deflate での一時的 DOS（CPU 消費）の可能性

CVE-2009-3094 httpd：細工された EPSV および PASV 返信によって mod_proxy_ftp で発生する NULL ポインターデリファレンス

CVE-2009-3095 httpd：認証 HTTP ヘッダーを通じた mod_proxy_ftp FTP コマンドインジェクション

CVE-2009-3555 TLS：セッション再ネゴシエーションを介する MITM 攻撃

TLS/SSL（Transport Layer Security/Secure Sockets Layer）プロトコルがセッションの再ネゴシエーションを処理過程に欠陥が見つかりました。
中間攻撃者は、この欠陥を利用して、クライアントのセッションに任意のプレーンテキストを前置する可能性があります（例えば、 Web サイトへの HTTPS 接続）。これにより、攻撃者のリクエストをまるで被害者の認証情報を使用して認証されたかのようにサーバーに無理に処理させることができます。この更新は、クライアントが要求する再ネゴシエーションを拒否することで、mod_ssl を使用する HTTP サーバーとの SSL セッションに関する欠陥を部分的に軽減します。
（CVE-2009-3555）

注：この更新では、HTTPS サーバーの問題は完全には解決されません。
サーバー主導の再ネゴシエーションが必要な構成で、攻撃が可能なままです。詳細については、次の Knowledge Base の記事を参照してください：
http://kbase.redhat.com/faq/docs/DOC-20491

Apache の mod_deflate モジュールで、サービス拒否の欠陥が見つかりました。
このモジュールは、圧縮が完了する前にコンテンツを要求しているネットワーク接続が切断された場合でも、圧縮が完了するまで容量の大きいファイルを圧縮し続けました。これにより、mod_deflate が容量の大きいファイルで有効となっている場合は、mod_deflate に膨大な CPU 時間を費やす可能性があります。（CVE-2009-1891）- SL4 のみ

Apache mod_proxy_ftp モジュールに NULL ポインターデリファレンスの欠陥が見つかりました。リクエストがプロキシされている悪意のある FTP サーバーが、この欠陥を利用して、 EPSV または PASV コマンドに対する無効な形式の返信により、httpd の子プロセスをクラッシュさせる可能性があります。これにより、限定的なサービス拒否が引き起こされます。（CVE-2009-3094）

Apache mod_proxy_ftp モジュールに第 2 の欠陥が見つかりました。リバースプロキシ構成で、リモートの攻撃者が、この欠陥を利用して、注意深く細工された HTTP Authorization ヘッダーを作成することにより、本来守られるべきアクセス制限をバイパスする可能性があります。これにより、攻撃者が任意のコマンドを FTP サーバーに送信することが可能になります。（CVE-2009-3095）

更新したパッケージをインストールした後、更新を有効にするために httpd デーモンを再起動する必要があります。

リモートホストは、セキュリティ更新 2010-002 を適用していないバージョンの Mac OS X 10.5 を実行しています。

このセキュリティ更新には以下の製品の修正が含まれます：

- AppKit
 - Application Firewall
 - AFP Server
 - Apache
 - ClamAV
 - CoreTypes
 - CUPS
 - curl
 - Cyrus IMAP
 - Cyrus SASL
 - Disk Images
 - Directory Services
 - Event Monitor
 - FreeRADIUS
 - FTP Server
 - iChat Server
 - Image RAW
 - Libsystem
 - Mail
 - Mailman
 - OS Services
 - Password Server
 - perl
 - PHP
 - PS Normalizer
 - Ruby
 - Server Admin
 - SMB
 - Tomcat
 - unzip
 - vim
 - Wiki Server
 - X11
 - xar

Updated httpd packages that fix multiple security issues are now available for Red Hat Enterprise Linux 3 and 5.

This update has been rated as having moderate security impact by the Red Hat Security Response Team.

The Apache HTTP Server is a popular Web server.

A flaw was found in the way the TLS/SSL (Transport Layer Security/Secure Sockets Layer) protocols handle session renegotiation.
A man-in-the-middle attacker could use this flaw to prefix arbitrary plain text to a client's session (for example, an HTTPS connection to a website). This could force the server to process an attacker's request as if authenticated using the victim's credentials. This update partially mitigates this flaw for SSL sessions to HTTP servers using mod_ssl by rejecting client-requested renegotiation.
(CVE-2009-3555)

Note: This update does not fully resolve the issue for HTTPS servers.
An attack is still possible in configurations that require a server-initiated renegotiation. Refer to the following Knowledgebase article for further information:
http://kbase.redhat.com/faq/docs/DOC-20491

A NULL pointer dereference flaw was found in the Apache mod_proxy_ftp module. A malicious FTP server to which requests are being proxied could use this flaw to crash an httpd child process via a malformed reply to the EPSV or PASV commands, resulting in a limited denial of service. (CVE-2009-3094)

A second flaw was found in the Apache mod_proxy_ftp module. In a reverse proxy configuration, a remote attacker could use this flaw to bypass intended access restrictions by creating a carefully-crafted HTTP Authorization header, allowing the attacker to send arbitrary commands to the FTP server. (CVE-2009-3095)

All httpd users should upgrade to these updated packages, which contain backported patches to correct these issues. After installing the updated packages, the httpd daemon must be restarted for the update to take effect.

The remote Redhat Enterprise Linux 4 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2009:1580 advisory.

    The Apache HTTP Server is a popular Web server.

    A flaw was found in the way the TLS/SSL (Transport Layer Security/Secure     Sockets Layer) protocols handle session renegotiation. A man-in-the-middle     attacker could use this flaw to prefix arbitrary plain text to a client's     session (for example, an HTTPS connection to a website). This could force     the server to process an attacker's request as if authenticated using the     victim's credentials. This update partially mitigates this flaw for SSL     sessions to HTTP servers using mod_ssl by rejecting client-requested     renegotiation. (CVE-2009-3555)

    Note: This update does not fully resolve the issue for HTTPS servers. An     attack is still possible in configurations that require a server-initiated     renegotiation. Refer to the following Knowledgebase article for further     information: http://kbase.redhat.com/faq/docs/DOC-20491

    A denial of service flaw was found in the Apache mod_deflate module. This     module continued to compress large files until compression was complete,     even if the network connection that requested the content was closed before     compression completed. This would cause mod_deflate to consume large     amounts of CPU if mod_deflate was enabled for a large file. (CVE-2009-1891)

    A NULL pointer dereference flaw was found in the Apache mod_proxy_ftp     module. A malicious FTP server to which requests are being proxied could     use this flaw to crash an httpd child process via a malformed reply to the     EPSV or PASV commands, resulting in a limited denial of service.
    (CVE-2009-3094)

    A second flaw was found in the Apache mod_proxy_ftp module. In a reverse     proxy configuration, a remote attacker could use this flaw to bypass     intended access restrictions by creating a carefully-crafted HTTP     Authorization header, allowing the attacker to send arbitrary commands to     the FTP server. (CVE-2009-3095)

    All httpd users should upgrade to these updated packages, which contain     backported patches to correct these issues. After installing the updated     packages, the httpd daemon must be restarted for the update to take effect.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Multiple vulnerabilities has been found and corrected in apache :

Memory leak in the zlib_stateful_init function in crypto/comp/c_zlib.c in libssl in OpenSSL 0.9.8f through 0.9.8h allows remote attackers to cause a denial of service (memory consumption) via multiple calls, as demonstrated by initial SSL client handshakes to the Apache HTTP Server mod_ssl that specify a compression algorithm (CVE-2008-1678).
Note that this security issue does not really apply as zlib compression is not enabled in the openssl build provided by Mandriva, but apache is patched to address this issue anyway (conserns 2008.1 only).

mod_proxy_ajp.c in the mod_proxy_ajp module in the Apache HTTP Server 2.2.11 allows remote attackers to obtain sensitive response data, intended for a client that sent an earlier POST request with no request body, via an HTTP request (CVE-2009-1191).

Cross-site scripting (XSS) vulnerability in proxy_ftp.c in the mod_proxy_ftp module in Apache 2.0.63 and earlier, and mod_proxy_ftp.c in the mod_proxy_ftp module in Apache 2.2.9 and earlier 2.2 versions, allows remote attackers to inject arbitrary web script or HTML via wildcards in a pathname in an FTP URI (CVE-2008-2939). Note that this security issue was initially addressed with MDVSA-2008:195 but the patch fixing the issue was added but not applied in 2009.0.

The Apache HTTP Server 2.2.11 and earlier 2.2 versions does not properly handle Options=IncludesNOEXEC in the AllowOverride directive, which allows local users to gain privileges by configuring (1) Options Includes, (2) Options +Includes, or (3) Options +IncludesNOEXEC in a .htaccess file, and then inserting an exec element in a .shtml file (CVE-2009-1195).

The stream_reqbody_cl function in mod_proxy_http.c in the mod_proxy module in the Apache HTTP Server before 2.3.3, when a reverse proxy is configured, does not properly handle an amount of streamed data that exceeds the Content-Length value, which allows remote attackers to cause a denial of service (CPU consumption) via crafted requests (CVE-2009-1890).

Fix a potential Denial-of-Service attack against mod_deflate or other modules, by forcing the server to consume CPU time in compressing a large file after a client disconnects (CVE-2009-1891).

The ap_proxy_ftp_handler function in modules/proxy/proxy_ftp.c in the mod_proxy_ftp module in the Apache HTTP Server 2.0.63 and 2.2.13 allows remote FTP servers to cause a denial of service (NULL pointer dereference and child process crash) via a malformed reply to an EPSV command (CVE-2009-3094).

The mod_proxy_ftp module in the Apache HTTP Server allows remote attackers to bypass intended access restrictions and send arbitrary commands to an FTP server via vectors related to the embedding of these commands in the Authorization HTTP header, as demonstrated by a certain module in VulnDisco Pack Professional 8.11. NOTE: as of 20090903, this disclosure has no actionable information. However, because the VulnDisco Pack author is a reliable researcher, the issue is being assigned a CVE identifier for tracking purposes (CVE-2009-3095).

Apache is affected by SSL injection or man-in-the-middle attacks due to a design flaw in the SSL and/or TLS protocols. A short term solution was released Sat Nov 07 2009 by the ASF team to mitigate these problems. Apache will now reject in-session renegotiation (CVE-2009-3555).

Packages for 2008.0 are provided for Corporate Desktop 2008.0 customers

This update provides a solution to these vulnerabilities.

Updated httpd packages that fix multiple security issues are now available for Red Hat Enterprise Linux 4.

This update has been rated as having moderate security impact by the Red Hat Security Response Team.

The Apache HTTP Server is a popular Web server.

A flaw was found in the way the TLS/SSL (Transport Layer Security/Secure Sockets Layer) protocols handle session renegotiation.
A man-in-the-middle attacker could use this flaw to prefix arbitrary plain text to a client's session (for example, an HTTPS connection to a website). This could force the server to process an attacker's request as if authenticated using the victim's credentials. This update partially mitigates this flaw for SSL sessions to HTTP servers using mod_ssl by rejecting client-requested renegotiation.
(CVE-2009-3555)

Note: This update does not fully resolve the issue for HTTPS servers.
An attack is still possible in configurations that require a server-initiated renegotiation. Refer to the following Knowledgebase article for further information:
http://kbase.redhat.com/faq/docs/DOC-20491

A denial of service flaw was found in the Apache mod_deflate module.
This module continued to compress large files until compression was complete, even if the network connection that requested the content was closed before compression completed. This would cause mod_deflate to consume large amounts of CPU if mod_deflate was enabled for a large file. (CVE-2009-1891)

A NULL pointer dereference flaw was found in the Apache mod_proxy_ftp module. A malicious FTP server to which requests are being proxied could use this flaw to crash an httpd child process via a malformed reply to the EPSV or PASV commands, resulting in a limited denial of service. (CVE-2009-3094)

A second flaw was found in the Apache mod_proxy_ftp module. In a reverse proxy configuration, a remote attacker could use this flaw to bypass intended access restrictions by creating a carefully-crafted HTTP Authorization header, allowing the attacker to send arbitrary commands to the FTP server. (CVE-2009-3095)

All httpd users should upgrade to these updated packages, which contain backported patches to correct these issues. After installing the updated packages, the httpd daemon must be restarted for the update to take effect.

From Red Hat Security Advisory 2009:1580 :

Updated httpd packages that fix multiple security issues are now available for Red Hat Enterprise Linux 4.

This update has been rated as having moderate security impact by the Red Hat Security Response Team.

The Apache HTTP Server is a popular Web server.

A flaw was found in the way the TLS/SSL (Transport Layer Security/Secure Sockets Layer) protocols handle session renegotiation.
A man-in-the-middle attacker could use this flaw to prefix arbitrary plain text to a client's session (for example, an HTTPS connection to a website). This could force the server to process an attacker's request as if authenticated using the victim's credentials. This update partially mitigates this flaw for SSL sessions to HTTP servers using mod_ssl by rejecting client-requested renegotiation.
(CVE-2009-3555)

Note: This update does not fully resolve the issue for HTTPS servers.
An attack is still possible in configurations that require a server-initiated renegotiation. Refer to the following Knowledgebase article for further information:
http://kbase.redhat.com/faq/docs/DOC-20491

A denial of service flaw was found in the Apache mod_deflate module.
This module continued to compress large files until compression was complete, even if the network connection that requested the content was closed before compression completed. This would cause mod_deflate to consume large amounts of CPU if mod_deflate was enabled for a large file. (CVE-2009-1891)

A NULL pointer dereference flaw was found in the Apache mod_proxy_ftp module. A malicious FTP server to which requests are being proxied could use this flaw to crash an httpd child process via a malformed reply to the EPSV or PASV commands, resulting in a limited denial of service. (CVE-2009-3094)

A second flaw was found in the Apache mod_proxy_ftp module. In a reverse proxy configuration, a remote attacker could use this flaw to bypass intended access restrictions by creating a carefully-crafted HTTP Authorization header, allowing the attacker to send arbitrary commands to the FTP server. (CVE-2009-3095)

All httpd users should upgrade to these updated packages, which contain backported patches to correct these issues. After installing the updated packages, the httpd daemon must be restarted for the update to take effect.

According to its banner, the version of Apache 2.2 installed on the remote host is older than 2.2.14.  Such versions are potentially affected by multiple vulnerabilities : 

  - Faulty error handling in the Solaris pollset support (Event Port backend) which could trigger hangs in the prefork and event MPMs on that platform (CVE-2009-2699)

  - The 'ap_proxy_ftp_handler' function in 'modules/proxy/proxy_ftp.c in the 'mod_proxy_ftp' module allows remote FTP servers to cause a denial-of-service via a malformed reply to an EPSV command. (CVE-2009-3094)

  - The 'mod_proxy_ftp' module allows remote attackers to bypass intended access restrictions and send arbitrary commands to an FTP server. (CVE-2009-3095)

NNM cannot determine whether the affected module is in use.

The remote host is running a version of Mac OS X 10.6 that is older than version 10.6.3.  Mac OS X 10.6.3 contains security fixes for the following products :

  - AFP Server

  - Apache

  - CoreAudio

  - CoreMedia

  - CoreTypes

  - CUPS

  - DesktopServices

  - Disk Images

  - Directory Services

  - Dovecot

  - Event Monitor

  - FreeRADIUS

  - FTP Server

  - iChat Server

  - ImageIO

  - Image RAW

  - Libsystem

  - Mail

  - MySQL

  - OS Services

  - Password Server

  - PHP

  - Podcast Producer

  - Preferences

  - PS Normalizer

  - QuickTime

  - Ruby

  - Server Admin

  - SMB

  - Tomcat

  - Wiki Server

  - X11

ID	Name	Product	Family	Published	Updated	Severity
44799	Debian DSA-1934-1：apache2 - 複数の問題	Nessus	Debian Local Security Checks	2/24/2010	1/4/2021	high
67958	Oracle Linux 3/5：httpd（ELSA-2009-1579）	Nessus	Oracle Linux Local Security Checks	7/12/2013	10/22/2024	critical
60695	Scientific Linux セキュリティ更新：SL3.x、SL4.x、SL5.x i386/x86_64 の httpd	Nessus	Scientific Linux Local Security Checks	8/1/2012	1/14/2021	high
45373	Mac OS X 複数の脆弱性（セキュリティ更新 2010-002）	Nessus	MacOS X Local Security Checks	3/29/2010	5/28/2024	critical
67073	CentOS 3 / 5 : httpd (CESA-2009:1579)	Nessus	CentOS Local Security Checks	6/29/2013	1/4/2021	high
42470	RHEL 4 : httpd (RHSA-2009:1580)	Nessus	Red Hat Local Security Checks	11/12/2009	11/4/2024	critical
43042	Mandriva Linux Security Advisory : apache (MDVSA-2009:323)	Nessus	Mandriva Local Security Checks	12/8/2009	1/6/2021	high
67074	CentOS 4 : httpd (CESA-2009:1580)	Nessus	CentOS Local Security Checks	6/29/2013	1/4/2021	high
67959	Oracle Linux 4 : httpd (ELSA-2009-1580)	Nessus	Oracle Linux Local Security Checks	7/12/2013	1/14/2021	high
5196	Apache < 2.2.14 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	10/6/2009	3/6/2019	medium
5489	Mac OS X < 10.6.3 Multiple Vulnerabilities	Nessus Network Monitor	Generic	3/30/2010	3/6/2019	critical

Detections

Analytics

Plugins Search

high

critical

high

critical

high

critical

high

high

high

medium

critical