已发现在调用 setuid() 失败的情况下 mod_wsgi 未正确终止权限。如果 mod_wsgi 设置为允许非特权用户运行 WSGI 应用程序，则能够运行 WSGI 应用程序的本地用户可能利用此缺陷升级其在系统上的权限。(CVE-2014-0240)

注意：mod_wsgi 并不会为 WSGI 应用程序提供权限分离。依赖 mod_wsgi 限制或沙盒化 mod_wsgi 应用程序的权限的系统应改为使用具有适当权限分离的不同解决方案。

已发现 mod_wsgi 可通过“Content-Type”标头泄漏托管 Web 应用程序的内存。远程攻击者可能利用此缺陷泄露 Web 应用程序的内存的有限部分。(CVE-2014-0242)

检测

Scientific Linux 安全更新：SL6.x i386/srpm/x86_64 中的 mod_wsgi

high Nessus 插件 ID 76246

未找到变更日志