发布日期：2001-12-08
更新日期：2001-12-14

受影响系统：

Apache Group Apache 1.3
   - Microsoft Windows 2000
   - Microsoft Windows NT 4.0
Apache Group Apache 1.3.1
Apache Group Apache 1.3.3
   + RedHat Linux 5.2 alpha
   + RedHat Linux 5.2 i386
   + RedHat Linux 5.2 sparc
Apache Group Apache 1.3.4
   + BSDI BSD/OS 4.0
Apache Group Apache 1.3.9
   + Debian Linux 2.2
   + Debian Linux 2.2 68k
   + Debian Linux 2.2 alpha
   + Debian Linux 2.2 arm
   + Debian Linux 2.2 powerpc
   + Debian Linux 2.2 sparc
   - Sun Solaris 8.0
   - Sun Solaris 8.0_x86
Apache Group Apache 1.3.11
Apache Group Apache 1.3.12
   + RedHat Linux 6.2 alpha
   + RedHat Linux 6.2 i386
   + RedHat Linux 6.2 sparc
   + RedHat Linux 7.0 alpha
   + RedHat Linux 7.0 i386
   + S.u.S.E. Linux 7.0
   + S.u.S.E. Linux 7.0sparc
Apache Group Apache 1.3.14
   + EnGarde Secure Linux 1.0.1
   + MandrakeSoft Linux Mandrake 7.1
   + MandrakeSoft Linux Mandrake 7.2
   - MandrakeSoft Single Network Firewall 7.2
Apache Group Apache 1.3.17
   + MandrakeSoft Corporate Server 1.0.1
   + MandrakeSoft Linux Mandrake 8.0
   + MandrakeSoft Linux Mandrake 8.0 ppc
   + OpenBSD OpenBSD 2.8
   + S.u.S.E. Linux 7.1
Apache Group Apache 1.3.18
Apache Group Apache 1.3.19
   - Caldera eDesktop 2.4
   - Caldera eServer 2.3.1
   - Caldera OpenLinux 2.4
   + Debian Linux 2.3
   - Digital (Compaq) TRU64/DIGITAL UNIX 4.0f
   - Digital (Compaq) TRU64/DIGITAL UNIX 4.0g
   - Digital (Compaq) TRU64/DIGITAL UNIX 5.0
   - FreeBSD FreeBSD 3.5.1
   - FreeBSD FreeBSD 4.2
   - HP HP-UX 10.20
   - HP HP-UX 11.0
   - HP HP-UX 11.11
   - MandrakeSoft Linux Mandrake 7.1
   - MandrakeSoft Linux Mandrake 7.2
   - MandrakeSoft Linux Mandrake 8.0
   + MandrakeSoft Linux Mandrake 8.1
   - NetBSD NetBSD 1.5
   - NetBSD NetBSD 1.5.1
   - OpenBSD OpenBSD 2.8
   - OpenBSD OpenBSD 2.9
   - RedHat Linux 6.2
   - RedHat Linux 7.0
   - RedHat Linux 7.1
   - S.u.S.E. Linux 6.4
   - S.u.S.E. Linux 7.0
   - S.u.S.E. Linux 7.1
   - SGI IRIX 6.5.8
   - SGI IRIX 6.5.9
   - Sun Solaris 7.0
   - Sun Solaris 8.0
Apache Group Apache 1.3.20
RedHat Secure Web Server 3.2 i386

不受影响系统：

Apache Group Apache 1.3.22

描述：

---

BUGTRAQ ID: 3596
CVE     ID: CAN-2001-0730

Apache中的Split-logfile允许为每个单独的主机名创建一个日志文件。

该软件存在一个安全问题，可能导致远程攻击者向任意“.log”文件追加数据。

如果HTTP请求的HOST域以“/”开头，将导致Apache显示错误信息，但是仍然会把HOST
域信息追加到相应的文件中，通过构造特殊的HOST域，可能允许攻击者向任意“.log”
文件中追加数据。

Red Hat Secure Web Server 3.2也存在这个安全问题。

<*来源：Mandrake Security Advisory
  链接：http://bugs.apache.org/index.cgi/full/7848
        http://www.linux-mandrake.com/en/security/2001/MDKSA-2001-077-1.php3
        http://www.redhat.com/support/errata/RHSA-2001-126.html*>



建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 暂时停止使用Split-Logfile

厂商补丁：

目前各厂商已经发布了安全公告和相应补丁，请参考厂商公告下载和安装补丁。

Mandrake Linux:
http://www.linux-mandrake.com/en/security/2001/MDKSA-2001-077-1.php3

RedHat Linux:
http://www.redhat.com/support/errata/RHSA-2001-126.html



浏览次数：4769
严重程度：0（网友投票）