更新后的 httpd 程序包修复了一个安全问题、各种缺陷并添加了若干增强，现在可用于 Red Hat Enterprise Linux 4。

Red Hat 安全响应团队将此更新评级为具有中等安全影响。

Apache HTTP Server 是可免费获取的流行 Web 服务器。

在 Apache HTTP Server mod_proxy 模块中发现一个缺陷。在配置反向代理的站点，远程攻击者可发送精心构建的请求，从而导致处理该请求的 Apache 子进程崩溃。在配置转发代理的站点，如果说服用户使用代理访问恶意站点，攻击者可能造成类似的崩溃。如果使用线程式多重处理模块，这可能导致拒绝服务。
(CVE-2007-3847)

同样，这些更新后的程序包修复了以下缺陷：

* 默认“/etc/logrotate.d/httpd”脚本错误地调用 kill 命令，而不是使用“/sbin/service httpd restart”命令。如果配置 httpd PID 以将其放在除“/var/run/httpd.pid”以外的位置，httpd 日志将无法循环。此问题在这些更新后的程序包中已经解决。

* 启用了“ProxyErrorOverride”指令时，包含 3xx 状态代码的 Set-Cookie 标头不会被转发给客户端。这些响应在代理上被替代。在这些更新后的程序包中，只替代状态代码为 4xx 和 5xx 的响应。

* 配置为反向代理时，mod_proxy 未正确处理百分号编码的字符（即 %20）。

* 如果输出过滤器返回错误，则可记录无效的 HTTP 状态代码。

* 各虚拟机定义之间未继承“ProxyTimeout”指令。

* 在某些情况下，HEAD 响应中丢弃了 Content-Length 标头。这导致某些网站使用 mod_proxy 时无法正确工作，例如 www.windowsupdate.com。

此更新添加了以下增强：

* 添加了一个新的配置选项“ServerTokens Full-Release”，该选项将程序包版本添加到“Server”响应头中返回的服务器版本字符串。

* 添加了一个新的模块 mod_version，该模块允许写入包含多个部分的配置文件，这些部分仅当使用的 httpd 版本符合指定条件时才会得到评估。

建议 netcf 用户升级这些更新后的数据包，其中解决了这些问题并添加了这些增强。

检测

CentOS 4：httpd (CESA-2007:0747)

medium Nessus 插件 ID 67056

未找到变更日志