Apache发布新版本修正漏洞ZT

50g

Apache基金会今天发布了修正CVE-2006-3747的Apache httpd 1.3.37、2.0.59和2.2.3版本。

受CVE-2006-3747问题影响的版本：启用了mod_rewrite的Apache 1.3.28以上的所有1.3.x版本、2.0.46以上的所有2.0.x版本、所有2.2.0以上的2.2.x版本。

问题描述：通过精心构造HTTP请求，启用了 mod_rewrite，并符合如下条件的 Apache 服务器会受到攻击：

- RewriteRule允许用户控制URI的第一部分(例如，替换后的URL以$1开头)，并且
- 该rule不包括F(禁止访问)、G(Gone)或NE(NoEscape)标志

对于编译过程中通过对堆栈布局做补空(例如OpenBSD)的Apache，则无法利用这一问题。

影响：存在弱点且受到攻击的服务器，由于此问题会导致在不恰当的位置多写一个字节的0，因而可能导致服务器崩溃；此外，此问题还可能导致攻击者以运行Apache服务的用户身份(通常是uid 80/gid 80, www:www)执行其所指定的任意代码。

正式的安全公告将在此处发布：

http://www.kb.cert.org/vuls/id/395412

转帖自：http://blog.delphij.net/

pw东升

关注。

Ericzhao82

make deinstall

and ports update

make install

do ?