首页 -> 安全研究
安全研究
安全漏洞
Apache Split-Logfile 追加数据漏洞
发布日期:2001-12-08
更新日期:2001-12-14
受影响系统:
Apache Group Apache 1.3不受影响系统:
- Microsoft Windows 2000
- Microsoft Windows NT 4.0
Apache Group Apache 1.3.1
Apache Group Apache 1.3.3
+ RedHat Linux 5.2 alpha
+ RedHat Linux 5.2 i386
+ RedHat Linux 5.2 sparc
Apache Group Apache 1.3.4
+ BSDI BSD/OS 4.0
Apache Group Apache 1.3.9
+ Debian Linux 2.2
+ Debian Linux 2.2 68k
+ Debian Linux 2.2 alpha
+ Debian Linux 2.2 arm
+ Debian Linux 2.2 powerpc
+ Debian Linux 2.2 sparc
- Sun Solaris 8.0
- Sun Solaris 8.0_x86
Apache Group Apache 1.3.11
Apache Group Apache 1.3.12
+ RedHat Linux 6.2 alpha
+ RedHat Linux 6.2 i386
+ RedHat Linux 6.2 sparc
+ RedHat Linux 7.0 alpha
+ RedHat Linux 7.0 i386
+ S.u.S.E. Linux 7.0
+ S.u.S.E. Linux 7.0sparc
Apache Group Apache 1.3.14
+ EnGarde Secure Linux 1.0.1
+ MandrakeSoft Linux Mandrake 7.1
+ MandrakeSoft Linux Mandrake 7.2
- MandrakeSoft Single Network Firewall 7.2
Apache Group Apache 1.3.17
+ MandrakeSoft Corporate Server 1.0.1
+ MandrakeSoft Linux Mandrake 8.0
+ MandrakeSoft Linux Mandrake 8.0 ppc
+ OpenBSD OpenBSD 2.8
+ S.u.S.E. Linux 7.1
Apache Group Apache 1.3.18
Apache Group Apache 1.3.19
- Caldera eDesktop 2.4
- Caldera eServer 2.3.1
- Caldera OpenLinux 2.4
+ Debian Linux 2.3
- Digital (Compaq) TRU64/DIGITAL UNIX 4.0f
- Digital (Compaq) TRU64/DIGITAL UNIX 4.0g
- Digital (Compaq) TRU64/DIGITAL UNIX 5.0
- FreeBSD FreeBSD 3.5.1
- FreeBSD FreeBSD 4.2
- HP HP-UX 10.20
- HP HP-UX 11.0
- HP HP-UX 11.11
- MandrakeSoft Linux Mandrake 7.1
- MandrakeSoft Linux Mandrake 7.2
- MandrakeSoft Linux Mandrake 8.0
+ MandrakeSoft Linux Mandrake 8.1
- NetBSD NetBSD 1.5
- NetBSD NetBSD 1.5.1
- OpenBSD OpenBSD 2.8
- OpenBSD OpenBSD 2.9
- RedHat Linux 6.2
- RedHat Linux 7.0
- RedHat Linux 7.1
- S.u.S.E. Linux 6.4
- S.u.S.E. Linux 7.0
- S.u.S.E. Linux 7.1
- SGI IRIX 6.5.8
- SGI IRIX 6.5.9
- Sun Solaris 7.0
- Sun Solaris 8.0
Apache Group Apache 1.3.20
RedHat Secure Web Server 3.2 i386
Apache Group Apache 1.3.22描述:
BUGTRAQ ID: 3596
CVE ID: CAN-2001-0730
Apache中的Split-logfile允许为每个单独的主机名创建一个日志文件。
该软件存在一个安全问题,可能导致远程攻击者向任意“.log”文件追加数据。
如果HTTP请求的HOST域以“/”开头,将导致Apache显示错误信息,但是仍然会把HOST
域信息追加到相应的文件中,通过构造特殊的HOST域,可能允许攻击者向任意“.log”
文件中追加数据。
Red Hat Secure Web Server 3.2也存在这个安全问题。
<*来源:Mandrake Security Advisory
链接:http://bugs.apache.org/index.cgi/full/7848
http://www.linux-mandrake.com/en/security/2001/MDKSA-2001-077-1.php3
http://www.redhat.com/support/errata/RHSA-2001-126.html*>
建议:
临时解决方法:
如果您不能立刻安装补丁或者升级,NSFOCUS建议您采取以下措施以降低威胁:
* 暂时停止使用Split-Logfile
厂商补丁:
目前各厂商已经发布了安全公告和相应补丁,请参考厂商公告下载和安装补丁。
Mandrake Linux:
http://www.linux-mandrake.com/en/security/2001/MDKSA-2001-077-1.php3
RedHat Linux:
http://www.redhat.com/support/errata/RHSA-2001-126.html
浏览次数:4769
严重程度:0(网友投票)
绿盟科技给您安全的保障