中（Moderate）：httpdのセキュリティアップデート

3つのセキュリティ問題を修正したApache httpdのアップデートパッケージがRed Hat Enterprise Linux 5で利用可能になりました。

このアップデートは、レッドハットセキュリティ対策チームによって、深刻度「中（Moderate）」のセキュリティ問題と評価されています。

Apache HTTP Serverは、広く使用されているWebサーバです。

Apache HTTP Serverによって信号が送られる前に、プロセスがApacheの子プロセスであることが確認されていませんでした。Apache HTTP Serverでスクリプトを実行できる攻撃者が、リモートからスコアボードを操作して任意のプロセスを終了できるため、サービス拒否が引き起こされる可能性があります。（CVE-2007-3304） デフォルトのSELinux targetedポリシーが使用されている場合、この問題は、Red Hat Enterprise Linux 5では悪用できません。

Apache HTTP Serverのmod_statusモジュールで欠陥が見つかりました。server-statusページが公開され、ExtendedStatusが有効になっているサイトでは、この欠陥 のために、クロスサイトスクリプティング攻撃を受ける可能性があります。Red Hat Enterprise Linuxでは、server-statusページはデフォルトでは有効になっておらず、このページを公開しないことがベストプラクティスです。（CVE-2006-5752）

Apache HTTP Serverのmod_cacheモジュールでバグが見つかりました。キャッシングが有効になっているサイトでは、リモートから要求を送信することにより、それを処理するApacheの子プロセスをクラッシュさせることが可能です。スレッド方式のマルチプロセッシングモジュールを使用している場合、これによってサービス拒否が引き起こされることもあります。（CVE-2007-1863）

httpdのユーザは、これらの問題を修正するバックポートパッチを含む上記アップデートパッケージにアップグレードしてください。ユーザは、このアップデートをインストールしたあとにApacheを再起動する必要があります。

このアップデートを適用する前に、ご使用のシステムに関係するリリース済みのエラータ/Errataがすべて適用されていることを確認してください。

このアップデートは、Red Hat Networkを通じて入手できます。

244658 - CVE-2007-1863 httpd mod_cache segfault
245111 - CVE-2007-3304 httpd scoreboard lack of PID protection
245112 - CVE-2006-5752 httpd mod_status XSS

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-5752
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-1863
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3304
http://www.redhat.com/security/updates/classification/#moderate