在 mod_auth_mysql 为特定多字节编码字符串执行转义的方式中发现一个缺陷。如果 mod_auth_mysql 配置使用允许将反斜线符号“\”作为字符编码一部分的多字节字符集，远程攻击者可将任意 SQL 命令注入登录请求。(CVE-2008-2384)

注意：此缺陷仅影响非默认安装，在此类安装中，将 AuthMySQLCharacterSet 配置为使用受影响的多字节字符集之一。不使用 AuthMySQLCharacterSet 配置选项的安装不受此缺陷的影响。

安装更新后，必须重新启动 httpd daemon 才能使修复生效。

检测

Scientific Linux 安全更新：SL5.x i386/x86_64 中的 mod_auth_mysql

high Nessus 插件 ID 60533

未找到变更日志