此更新包含 Apache HTTP Server 2.4.9 版的最新版本。

包含數個錯誤修正和小型增強，詳情請參閱下列網址：

http://www.apache.org/dist/httpd/CHANGES_2.4.9

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 httpd 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

httpd 套件提供 Apache HTTP Server，這是一款強大、有效且可延伸的 Web 伺服器。

據發現，mod_dav 模組在已剖析的 XML 中，並未正確去除特定元素的前置空格。在某些使用 mod_dav 模組的 httpd 配置 (例如使用 mod_dav_svn 模組時) 中，遠端攻擊者可傳送特製的 DAV 要求，導致 httpd 子處理程序損毀，或可能能讓攻擊者以‘apache’使用者的權限執行任意程式碼。(CVE-2013-6438)

在 httpd mod_log_config 模組中發現一個緩衝區過度讀取瑕疵。
在啟用 Cookie 記錄的配置 (這在 Red Hat Enterprise Linux 預設為停用) 中，遠端攻擊者可利用此瑕疵，透過帶有錯誤格式 Cookie 標頭的 HTTP 要求造成 httpd 子處理程序損毀。(CVE-2014-0098)

建議所有 httpd 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。安裝更新版套件之後，httpd 程序會自動重新啟動。

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 httpd 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

httpd 套件提供 Apache HTTP Server，這是一款強大、有效且可延伸的 Web 伺服器。

據發現，mod_dav 模組在已剖析的 XML 中，並未正確去除特定元素的前置空格。在某些使用 mod_dav 模組的 httpd 配置 (例如使用 mod_dav_svn 模組時) 中，遠端攻擊者可傳送特製的 DAV 要求，導致 httpd 子處理程序損毀，或可能能讓攻擊者以‘apache’使用者的權限執行任意程式碼。(CVE-2013-6438)

在 httpd mod_log_config 模組中發現一個緩衝區過度讀取瑕疵。
在啟用 Cookie 記錄的配置 (這在 Red Hat Enterprise Linux 預設為停用) 中，遠端攻擊者可利用此瑕疵，透過帶有錯誤格式 Cookie 標頭的 HTTP 要求造成 httpd 子處理程序損毀。(CVE-2014-0098)

建議所有 httpd 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。安裝更新版套件之後，httpd 程序會自動重新啟動。

根據其標題，遠端主機上執行的 Apache 2.2.x 版比 2.2.27 舊。因此可能受到以下弱點影響：

- 模組「mod_dav」中存有瑕疵，此瑕疵是在追蹤具有前置空格的 CDAT 長度時所產生。遠端攻擊者若使用特製的 DAV WRITE 要求，可能導致服務停止回應。
 (CVE-2013-6438)

-「mod_log_config」模組中存有瑕疵，此瑕疵是在記錄具有未指派值的 cookie 時所產生。遠端攻擊者若使用特製的要求，可能導致服務損毀。(CVE-2014-0098)

請注意，Nessus 並未實際測試此問題，而是僅依據伺服器標題上的版本。

遠端主機上執行的是 Fix Pack 33 之前的 IBM WebSphere Application Server 7.0。因此受到以下弱點影響：

- 管理主控台中存有跨網站指令碼瑕疵，其中的使用者輸入並未正確驗證。這可能會讓具有特製要求的遠端攻擊者在瀏覽器/伺服器信任關係中執行任意指令碼。
 (CVE-2013-6323、PI04777 和 PI04880)

- 當在 SSL/TLS 交握期間處理 SSLv2 恢復時，Global Security Kit 內存在一個拒絕服務瑕疵。這可能會使遠端攻擊者造成程式損毀。(CVE-2013-6329、PI05309)

- 當使用附加元件時，在具有 mod_dav 模組的 HTTP 伺服器中存在一個緩衝區溢位瑕疵。這可能會使遠端攻擊者引發緩衝區溢位與拒絕服務。(CVE-2013-6438、PI09345)

- 在未正確驗證使用者輸入的 OAuth 內存在一個跨網站指令碼瑕疵。這可能會讓具有特製要求的遠端攻擊者在瀏覽器/伺服器信任關係中執行任意指令碼。(CVE-2013-6738、PI05661)

- 在 SSL/TLS 連線起始期間處理 X.509 憑證鏈時，Global Security Kit 中存在一個拒絕服務瑕疵。使用格式有誤之憑證鏈的遠端攻擊者可能透過懸置 Global Security Kit 造成用戶端或伺服器當機。(CVE-2013-6747、PI09443)

- 當針對多部分要求剖析 content-type 標頭時，在 Apache Commons FileUpload 內存在一個拒絕服務瑕疵。遠端攻擊者若使用特製的要求，可能導致程式損毀。
 (CVE-2014-0050、PI12648、PI12926 和 PI13162)

- 當以未指派的值記錄 cookie 時，在 'mod_log_config' 中存有拒絕服務瑕疵。遠端攻擊者若使用特製的要求，可能導致程式損毀。(CVE-2014-0098、PI13028)

- Apache Struts 中存在一個遠端程式碼執行瑕疵。
 限制類別載入器屬性的設定失敗可允許遠端攻擊者執行任意指令碼。(CVE-2014-0114、PI17190)

- 在具有 ‘PKCS#1’ 取消填補的 ‘sun.security.rsa.RSAPadding’ 中存在一個資訊洩漏瑕疵。
 這可能允許遠端攻擊者取得預定受到加密保護的定時資訊。
 (CVE-2014-0453)

- ‘com.sun.jndi.dns.DnsClient’ 中存在一個與查詢 ID 隨機化相關的瑕疵。這可讓遠端攻擊者進行偽造攻擊。
 (CVE-2014-0460)

- 在設定為重試失敗的 POST 要求之伺服器上的 web 伺服器外掛程式中，存在一個拒絕服務瑕疵。這可能會使遠端攻擊者造成應用程式損毀。
 (CVE-2014-0859、PI08892)

- ‘IBMJCE’ 和 ‘IBMSecureRandom’ 密碼編譯提供者存在一個瑕疵，這是由於以可預測方式產生數字所導致。這可允許遠端攻擊者輕易猜測亂數產生器的輸出。(CVE-2014-0878)

- 在 Proxy 和 ODR 伺服器中存在一個資訊洩漏瑕疵。這可能會允許使用特製要求的遠端攻擊者取得潛在敏感資訊的存取權。(CVE-2014-0891、PI09786)

- 具有 Reverse Proxy 元件的 IBM Security Access Manager for Web 內存有拒絕服務瑕疵。
 這可能會允許遠端攻擊者使用特製 TLS 流量，使系統上的應用程式沒有反應。(CVE-2014-0963、PI17025)

- 當處理 SOAP 回應時，存有資訊洩漏瑕疵。它可使遠端攻擊者獲得敏感資訊的存取權。
 (CVE-2014-0965、PI11434)

- 存在資訊洩漏瑕疵。使用特製 URL 的遠端攻擊者可能取得潛在敏感資訊的存取權。
 (CVE-2014-3022、PI09594)

遠端主機上執行的是 Fix Pack 9 之前的 IBM WebSphere Application Server 8.0。因此受到以下弱點影響：

- 管理主控台中存有跨網站指令碼瑕疵，其中的使用者輸入並未正確驗證。這可能會讓具有特製要求的遠端攻擊者在瀏覽器/伺服器信任關係中執行任意指令碼。
 (CVE-2013-6323、PI04777 和 PI04880)

- 當在 SSL/TLS 交握期間處理 SSLv2 恢復時，Global Security Kit 內存在一個拒絕服務瑕疵。這可能會使遠端攻擊者造成程式損毀。(CVE-2013-6329、PI05309)

- 當使用附加元件時，在具有 mod_dav 模組的 HTTP 伺服器中存在一個緩衝區溢位瑕疵。這可能會使遠端攻擊者引發緩衝區溢位與拒絕服務。(CVE-2013-6438、PI09345)

- 在未正確驗證使用者輸入的 OAuth 內存在一個跨網站指令碼瑕疵。這可能會讓具有特製要求的遠端攻擊者在瀏覽器/伺服器信任關係中執行任意指令碼。(CVE-2013-6738、PI05661)

- 在 SSL/TLS 連線起始期間處理 X.509 憑證鏈時，Global Security Kit 中存在一個拒絕服務瑕疵。使用格式有誤之憑證鏈的遠端攻擊者可能透過懸置 Global Security Kit 造成用戶端或伺服器當機。(CVE-2013-6747、PI09443)

- 當針對多部分要求剖析 content-type 標頭時，在 Apache Commons FileUpload 內存在一個拒絕服務瑕疵。遠端攻擊者若使用特製的要求，可能導致程式損毀。
 (CVE-2014-0050、PI12648、PI12926 和 PI13162)

- 橢圓曲線數位簽章演算法實作中存有一個瑕疵，其可允許惡意處理程序恢復 ECDSA nonce。
 (CVE-2014-0076、PI19700)

- 當以未指派的值記錄 cookie 時，在 'mod_log_config' 中存有拒絕服務瑕疵。遠端攻擊者若使用特製的要求，可能導致程式損毀。(CVE-2014-0098、PI13028)

- 在具有 ‘PKCS#1’ 取消填補的 ‘sun.security.rsa.RSAPadding’ 中存在一個資訊洩漏瑕疵。
 這可能允許遠端攻擊者取得預定受到加密保護的定時資訊。
 (CVE-2014-0453)

-「com.sun.jndi.dns.DnsClient」中存在一個與查詢 ID 隨機化相關的瑕疵。這可讓遠端攻擊者進行偽造攻擊。
 (CVE-2014-0460)

- Full 和 Liberty 設定檔中存在一個瑕疵。使用特製要求的遠端攻擊者可取得任意檔案的存取權。(CVE-2014-0823、PI05324)

- 管理主控台中存在一個資訊洩漏瑕疵。這可允許使用特製要求的網路攻擊者取得存取權限。(CVE-2014-0857、PI07808)

- 在設定為重試失敗的 POST 要求之伺服器上的 web 伺服器外掛程式中，存在一個拒絕服務瑕疵。這可能會使遠端攻擊者造成應用程式損毀。
 (CVE-2014-0859、PI08892)

- 在 Proxy 和 ODR 伺服器中存在一個資訊洩漏瑕疵。這可能會允許使用特製要求的遠端攻擊者取得潛在敏感資訊的存取權。(CVE-2014-0891、PI09786)

- 具有 Reverse Proxy 元件的 IBM Security Access Manager for Web 內存有拒絕服務瑕疵。
 這可能會允許遠端攻擊者使用特製 TLS 流量，使系統上的應用程式沒有反應。(CVE-2014-0963、PI17025)

- 當處理 SOAP 回應時，存有資訊洩漏瑕疵。它可使遠端攻擊者獲得敏感資訊的存取權。
 (CVE-2014-0965、PI11434)

- 存在資訊洩漏瑕疵。使用特製 URL 的遠端攻擊者可能取得潛在敏感資訊的存取權。
 (CVE-2014-3022、PI09594)

現已提供適用於 Slackware 14.0、14.1 和最新版本的新 httpd 套件，
可修正安全性問題。

現已提供適用於 Red Hat Enterprise Linux 5 和 6 之 Red Hat JBoss Enterprise Application Platform 6.2 的更新版 httpd 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。

據發現，mod_dav 模組在已剖析的 XML 中，並未正確去除特定元素的前置空格。在某些使用 mod_dav 模組的 httpd 配置 (例如使用 mod_dav_svn 模組時) 中，遠端攻擊者可傳送特製的 DAV 要求，導致 httpd 子處理程序損毀，或可能能讓攻擊者以‘apache’使用者的權限執行任意程式碼。(CVE-2013-6438)

在 httpd mod_log_config 模組中發現一個緩衝區過度讀取瑕疵。
在啟用 Cookie 記錄的配置中，遠端攻擊者可利用此瑕疵，透過帶有錯誤格式 Cookie 標頭的 HTTP 要求造成 httpd 子處理程序損毀。(CVE-2014-0098)

所有 Red Hat JBoss Enterprise Application Platform 6.2 使用者皆應升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。安裝更新版套件之後，使用者必須先重新啟動 httpd 服務，更新才會生效。

此 apache2 更新可修正下列安全性問題：

- 修正 mod_proxy 處理具有反向代理伺服器組態的特製要求時的當機，避免伺服器發生當機或 DoS 情形。
 CVE-2014-0117

- 在新檔案 conf.d/cgid-timeout.conf 中將新組態選項 CGIDScriptTimeout 設為 60 秒，防止背景工作處理程序在其啟動的 cgi 停止讀取來自伺服器的輸入時發生永遠懸置 (DoS)。
 CVE-2014-0231

- 修正 mod_cache 中會造成快取轉送組態損毀的 NULL 指標解除參照，避免 DoS 情形。CVE-2013-4352

- 修正剖析 Cookie 內容時的當機，避免伺服器出現 DoS CVE-2014-0098

- 修正計分板處理過程中出現的 mod_status 爭用情形，以及若將 mod_status 存取權授予潛在攻擊者，可能會導致的連續堆積溢位和資訊洩漏。CVE-2014-0226

- 修正 CDATA 區段至 mod_dav 的空白字元不當處理，避免 apache 伺服器處理程序發生當機和 DoS 情形 CVE-2013-6438

此 apache 版本更新可修正多種安全性和非安全性問題。

- 已更新至 2.2.29

- 2.2.22 與 2.2.29 之間的變更：
 http://www.apache.org/dist/httpd/CHANGES_2.2

- 下列修補程式已不再需要且已移除：

- httpd-2.2.x-bnc798733-SNI_ignorecase.diff

- httpd-2.2.x-bnc806458-mod_imagemap-xss.diff

- httpd-2.2.x-bnc806458-mod_info_ap_get_server_name-xss.diff

- httpd-2.2.x-bnc806458-mod_proxy_ftp-xss.diff

- httpd-2.2.x-bnc806458-util_ldap_cache_mgr-xss.diff

- httpd-2.2.x-bnc807152-mod_balancer_handler_xss.diff

- httpd-mod_deflate_head.patch

- httpd-new_pcre.patch

- httpd-2.2.22-SSLCompression_CRIME_mitigation.patch

- httpd-2.2.19-linux3.patch

- httpd-2.2.x-bnc829056-CVE-2013-1896-pr1482522-mod_dav.diff

- httpd-2.2.x-bnc829057-CVE-2013-1862-mod_rewrite_terminal_escape_sequences.diff

- httpd-2.2.x-bnc869105-CVE-2013-6438-mod_dav-dos.diff

- httpd-2.2.x-bnc869106-CVE-2014-0098-log_cookie_c.diff

- httpd-2.2.x-bnc887765-CVE-2014-0226-mod_status_race.diff

- httpd-2.2.x-bnc887768-CVE-2014-0231_mod_cgid_DoS_via_no_stdin_read.diff

- httpd-2.2.x-bnc777260-CVE-2012-2687-mod_negotiation_filename_xss.diff

- httpd-2.2.x-CVE-2011-3368-server_protocl_c.diff

- 已針對目前的 Apache 版本更新下列修補程式：

- apache2-mod_ssl_npn.patch

- httpd-2.0.54-envvars.dif

- httpd-2.2.x-bnc690734.patch

- ssl-mode-release-buffers.patch

- bnc#871310 已在 Apache httpd 2.2.29 中修正

遠端 Solaris 系統缺少處理安全性更新的必要修補程式：

- 在 2.4.8 版之前的 Apache HTTP Server 中，main/util.c in mod_dav 模組的 dav_xml_get_cdata 函式未正確移除 CDATA 區段中的空白字元，這會允許遠端攻擊者透過特製的 DAV WRITE 要求造成拒絕服務 (程序損毀)。(CVE-2013-6438)

- 在 2.4.8 版之前的 Apache HTTP Server 中，mod_log_config 模組內 mod_log_config.c 的 log_cookie 函式允許遠端攻擊者透過截斷期間未正確處理的特製 cookie，造成拒絕服務 (分割錯誤和程序損毀)。(CVE-2014-0098)

更新版 apache 套件可修正多個安全性弱點：

2.4.9 版之前的 Apache HTTPD 處理 DAV_WRITE 要求時，容易受到 mod_dav 中的一個拒絕服務弱點影響 (CVE-2013-6438)。

2.4.9 版之前的 Apache HTTPD 記錄 cookie 時，容易受到一個拒絕服務弱點影響 (CVE-2014-0098)。

在 mod_status httpd 模組中發現導致堆積型緩衝區溢位的爭用情形瑕疵。能夠在伺服器上使用階層式多處理模組 (MPM) 存取 mod_status 提供服務之狀態頁面的遠端攻擊者，可能傳送特製要求，導致 httpd 子處理程序損毀，或可能讓攻擊者以‘apache’使用者的權限執行任意程式碼 (CVE-2014-0226)。

在 mod_proxy httpd 模組中發現一個拒絕服務瑕疵。遠端攻擊者可傳送特製要求給伺服器，而其設定為使用階層式多處理模組 (MPM) 的反向代理伺服器，這可能造成 httpd 子處理程序損毀 (CVE-2014-0117)。

在 httpd 的 mod_deflate 模組處理要求內文解壓縮 (透過 DEFLATE 輸入篩選設定) 的方式中發現拒絕服務瑕疵。能夠傳送其內文會遭到解壓縮之要求的遠端攻擊者可能會利用此瑕疵在目標系統上消耗過量系統記憶體與 CPU (CVE-2014-0118)。

在 httpd 的 mod_cgid 模組執行並非從標準輸入讀取資料之 CGI 指令碼的方式中發現拒絕服務瑕疵。遠端攻擊者可能會提交特製的要求，導致 httpd 子處理程序無限期懸置 (CVE-2014-0231)。

在 mod_cache httpd 模組處理 Content-Type 標頭的方式中，發現一個 NULL 指標解除參照瑕疵。Apache HTTP Server 設為以啟用快取功能的伺服器作為代理伺服器時，惡意的 HTTP Server 可能會造成 httpd 子處理程序損毀 (CVE-2014-3581)。

在 2.4.10 版及其之前版本的 Apache HTTP Server 中，mod_lua 模組的 mod_lua.c 不支援 httpd 組態，而其中相同的 Lua 授權提供者在其他內容中，會使用不同的引數，其允許遠端攻擊者利用多個 Require 指示詞，而有機會繞過預定的存取限制；將組態設為指定授權給一個群組存取特定目錄，而第二個群組有授權存取另一個目錄，此情況即為一例 (CVE-2014-8109)。

在 2.4.10 版及其之前版本的 Apache HTTP Server 的 mod_lua 模組中，指令碼呼叫 r:wsupgrade() 之後出現的惡意特製 websocket PING 可造成子處理程序損毀 (CVE-2015-0228)。

使用區塊編碼處理要求時，在 httpd 處置 HTTP Trailer 標頭的方式中發現一個瑕疵。惡意用戶端可利用 Trailer 標頭，在其他模組執行過標頭處理後設定額外的 HTTP 標頭。舉例而言，這可導致繞過以 mod_headers 定義的標頭限制 (CVE-2013-5704)。

注意：透過此更新，httpd 會修改為不將 HTTP Trailer 標頭和其他 HTTP 要求標頭合併。最新引入的組態指示詞 MergeTrailers 可用於重新啟用 Trailer 標頭的舊處理方式，但其也會重新引入前述瑕疵。

此更新也可修正下列錯誤：

在此更新之前，mod_proxy_wstunnel 模組設定為使用配置為 wss: URL 的後端伺服器時，會無法設定 SSL 連線，這會造成代理連線失敗。在這些更新版套件中，代理設定至 wss: 後端伺服器時會使用 SSL (rhbz#1141950)。

此 apache2 更新可修正下列安全性問題：

- log_cookie mod_log_config.c 遠端拒絕服務 (CVE-2014-0098、bnc#869106)

- mod_dav 拒絕服務 (CVE-2013-6438、bnc#869105)

- mod_cgid 拒絕服務 (CVE-2014-0231、bnc#887768)

- mod_status 堆積型緩衝區溢位 (CVE-2014-0226、bnc#887765)

- mod_rewrite：逸出記錄資料以避免終端逸出 (CVE-2013-1862、bnc#829057)

- mod_dav：merge 要求中的 segfault (CVE-2013-1896、bnc#829056)

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機執行的 Mac OS X 10.10.x 版本比 10.10.3 版舊。因此，其會受到下列元件中的多個弱點影響：

- Admin Framework
 - Apache
 - ATS
 - Certificate Trust Policy
 - CFNetwork HTTPProtocol
 - CFNetwork Session
 - CFURL
 - CoreAnimation
 - FontParser
 - Graphics Driver
 - Hypervisor
 - ImageIO
 - IOHIDFamily
 - Kernel
 - LaunchServices
 - libnetcore
 - ntp
 - Open Directory Client
 - OpenLDAP
 - OpenSSL
 - PHP
 - QuickLook
 - SceneKit
 - ScreenSharing
 - Security - Code SIgning
 - UniformTypeIdentifiers
 - WebKit

請注意，如果成功惡意利用多數嚴重問題，將會導致任意程式碼執行。

The remote host appears to be running IBM WebSphere Application Server 7.0 prior to 7.0.0.33.  Such versions are potentially affected by multiple vulnerabilities :

 - A cross-site scripting (XSS) flaw exists within the Administration Console, where user input is improperly validated.  This could allow a remote attacker, with a specially crafted request, to execute arbitrary script code within the browser/server trust relationship. (CVE-2013-6323, PI04777, PI04880)
 - A denial of service flaw exists within the Global Security Kit when handling SSLv2 resumption during the SSL/TLS handshake.  This could allow a remote attacker to crash the program. (CVE-2013-6329, PI05309)
 - A buffer overflow flaw exists in the HTTP server with the 'mod_dav' module when using add-ons.  This could allow a remote attacker to cause a buffer overflow and a denial of service. (CVE-2013-6438, PI09345)
 - An XSS flaw exists within 'OAuth' where user input is not properly validated.  This could allow a remote attacker, with a specially crafted request, to execute arbitrary script code within the browser/server trust relationship. (CVE-2013-6738, PI05661)
 - A denial of service (DoS) flaw exists within the Global Security Kit when handling the X.509 certificate chain during the initiation of an SSL/TLS connection.  A remote attacker, using a malformed certificate chain, could cause the client or server to crash by hanging the Global Security Kit. (CVE-2013-6747, PI09443)
 - A DoS flaw exists within the Apache Commons 'FileUpload' when parsing a content-type header for a multipart request.  A remote attacker, using a specially crafted request, could crash the program. (CVE-2014-0050, PI12648, PI12926 and PI13162)
 - A DoS flaw exists in the 'mod_log_config' when logging a cookie with an unassigned value.  A remote attacker, using a specially crafted request, can cause the program to crash. (CVE-2014-0098, PI13028)
 - A remote code execution flaw exists with Apache Struts.  The failure to restrict setting of class loader attributes could allow a remote attacker to execute arbitrary script code. (CVE-2014-0114, PI17190)
 - An information disclosure flaw exists in the 'sun.security.rsa.RSAPadding' with 'PKCS#1' unpadding.  This many allow a remote attacker to gain timing information intended to be protected by encryption. (CVE-2014-0453)
 - A flaw exists within 'com.sun.jndi.dns.DnsClient' related to the randomization of query IDs. This could  allow a remote attacker to conduct spoofing attacks. (CVE-2014-0460)
 - A DoS flaw exists in a web server plugin on servers configured to retry failed POST requests.  This could allow a remote attacker to crash the application. (CVE-2014-0859, PI08892)
 - A flaw exists with the 'IBMJCE' and 'IBMSecureRandom' cryptographic providers by generating numbers in a predictable manner.  This could allow a remote attacker to easily guess the output of the random number generator. (CVE-2014-0878)
 - An information disclosure flaw exists within Proxy and ODR servers.  This could allow a remote attacker, using a specially crafted request, to gain access to potentially sensitive information. (CVE-2014-0891, PI09786)
 - A DoS flaw exists within the IBM Security Access Manager for Web with the Reverse Proxy component.  This could allow a remote attacker, using specially crafted TLS traffic, to cause the application on the system to become unresponsive. (CVE-2014-0963, PI17025)
 - An information disclosure flaw exists when handling SOAP responses.  This could allow a remote attacker to potentially gain access to sensitive information. (CVE-2014-0965, PI11434)
 - An information disclosure flaw exists.  A remote attacker, using a specially crafted URL, could gain access to potentially sensitive information. (CVE-2014-3022, PI09594)
 - An unspecified flaw exists that may allow an attacker to gain elevated privileges.  No further details have been provided.

Versions of Apache HTTP Server older than 2.4.8 are unpatched for the following vulnerabilities:

  - A denial-of-service vulnerability in the mod_log_config module that can be triggered due to insufficient user-input sanitation when logging a cookie with an unassigned value (CVE-2014-0098)

  - A denial-of-service vulnerability in the mod_dav module that can be triggered when tracking the length of CDATA that includes leading whitespace characters. (CVE-2013-6438)

The remote host is running a version of Mac OS X 10.10.x that is prior to 10.10.3. It is, therefore, affected by multiple vulnerabilities in the following components :

 - Admin Framework
 - Apache
 - ATS
 - Certificate Trust Policy
 - CFNetwork HTTPProtocol
 - CFNetwork Session
 - CFURL
 - CoreAnimation
 - FontParser
 - Graphics Driver
 - Hypervisor
 - ImageIO
 - IOHIDFamily
 - Kernel
 - LaunchServices
 - libnetcore
 - ntp
 - Open Directory Client
 - OpenLDAP
 - OpenSSL
 - PHP
 - QuickLook
 - SceneKit
 - ScreenSharing
 - Security - Code SIgning
 - UniformTypeIdentifiers
 - WebKit

Note that successful exploitation of the most serious issues can result in arbitrary code execution.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
73265	Fedora 20 : httpd-2.4.9-2.fc20 (2014-4555)	Nessus	Fedora Local Security Checks	2014/3/31	2021/1/11	medium
73320	CentOS 6：httpd (CESA-2014:0370)	Nessus	CentOS Local Security Checks	2014/4/4	2021/1/4	medium
73325	RHEL 5：httpd (RHSA-2014:0369)	Nessus	Red Hat Local Security Checks	2014/4/4	2021/1/14	medium
73405	Apache 2.2.x < 2.2.27 多個漏洞	Nessus	Web Servers	2014/4/8	2018/9/17	medium
73660	Fedora 19 : httpd-2.4.9-1.fc19 (2014-5004)	Nessus	Fedora Local Security Checks	2014/4/23	2021/1/11	medium
76967	IBM WebSphere Application Server 7.0 < Fix Pack 33 多種弱點	Nessus	Web Servers	2014/8/1	2019/11/25	high
76995	IBM WebSphere Application Server 8.0 < Fix Pack 9 多種弱點	Nessus	Web Servers	2014/8/4	2019/11/25	high
73248	Slackware 14.0 / 14.1 / 最新版本：httpd (SSA:2014-086-02)	Nessus	Slackware Local Security Checks	2014/3/31	2021/1/14	medium
76398	RHEL 5 / 6 : JBoss EAP (RHSA-2014:0826)	Nessus	Red Hat Local Security Checks	2014/7/8	2021/1/14	medium
77292	openSUSE 安全性更新：apache2 (openSUSE-SU-2014:1044-1)	Nessus	SuSE Local Security Checks	2014/8/21	2021/1/19	medium
80043	openSUSE 安全性更新：apache2 (openSUSE-SU-2014:1647-1)	Nessus	SuSE Local Security Checks	2014/12/16	2021/1/19	medium
80588	Oracle Solaris 第三方修補程式更新：apache (multiple_input_validation_vulnerabilities_in1)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	medium
82346	Mandriva Linux 安全性公告：apache (MDVSA-2015:093)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium
83632	SUSE SLES10 安全性更新：apache2 (SUSE-SU-2014:1082-1)	Nessus	SuSE Local Security Checks	2015/5/20	2021/1/19	medium
82699	Mac OS X 10.10.x < 10.10.3 多個弱點 (FREAK)	Nessus	MacOS X Local Security Checks	2015/4/10	2024/5/28	critical
9699	IBM WebSphere Application Server 7.0 < 7.0.0.33 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2016/10/26	2019/3/6	critical
8165	Apache HTTP Server < 2.4.8 Multiple Vulnerabilities	Nessus Network Monitor	Web Servers	2014/3/20	2019/3/6	low
700510	Mac OS X 10.10.x < 10.10.3 Multiple Vulnerabilities	Nessus Network Monitor	Operating System Detection	2019/4/10	2019/4/10	critical

检测

插件搜索

medium

medium

medium

medium

medium

high

high

medium

medium

medium

medium

medium

medium

medium

critical

critical

low

critical