根据其标题，远程主机上运行的 lighttpd 版本低于 1.4.34。因此，该应用程序受到以下漏洞的影响：

 - 启用了服务器名指示 (SNI) 时，存在一个可导致应用程序使用所有可用 SSL 密码（包括弱密码）的缺陷。远程攻击者可能会通过嗅探网络来劫持会话或者获得敏感信息。请注意，仅版本 1.4.24 到 1.4.33 受影响。(CVE-2013-4508)

 - clang 静态分析器中存在一个缺陷，原因是其未能执行关于 setuid (1)、setgid (2) 和 setgroups (3) 调用的检查。这可允许远程攻击者获得提升的权限。(CVE-2013-4559)

 - 启用了 FAM 静态缓存引擎时，clang 静态分析器中存在一个释放后使用错误。这可允许远程攻击者取消引用已释放的内存并导致程序崩溃。(CVE-2013-4560)

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

lighttpd 安全公告：

当使用 ssl.cipher-list 时，它可能无意间启用有漏洞的密码。

在某些情况下 setuid() 及类似函数可能失败，可能触发 lighttpd 以根用户身份重新启动并运行。

如果 FAMMonitorDirectory 失败，则会释放预期用于存储上下文的内存；会读取此上下文的“version”组件下方的某些行。读取无效数据的影响不大，但内存访问可触发段错误。

通过 PIE 最新上游版本构建，多种安全补丁。

http://www.lighttpd.net/2014/1/20/1-4-34/ 最新上游版本，多种安全补丁。

http://www.lighttpd.net/2014/1/20/1-4-34/

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

-添加了 cve-2013-4508.patch 和 cve-2013-4508-regression-bug729480.patch：(bnc#849059) 当定义 ssl.cipher-list 时，它对“默认”HTTPS 设置有效（$SERVER[’socket’] 443 区块），但是，当您使用 SNI（$SERVER[’socket’] 区块中的 $HTTP[’host’] 区块）时，ssl.cipher-list 似乎不继承到主机区块，而是将默认包含所有可用的 openssl 密码（这些密码被禁用时，基于 SSL v2/v3 的情况除外）

- 添加了 cve-2013-4559.patch (bnc#850468) 检查 setuid,setgid,setgroups 是否成功

- 添加了 cve-2013-4560.patch (bnc#850469) FAM：修复释放后使用

-添加了 cve-2013-4508.patch 和 cve-2013-4508-regression-bug729480.patch：(bnc#849059) 当定义 ssl.cipher-list 时，它对“默认”HTTPS 设置有效（$SERVER[’socket’] 443 区块），但是，当您使用 SNI（$SERVER[’socket’] 区块中的 $HTTP[’host’] 区块）时，ssl.cipher-list 似乎不继承到主机区块，而是将默认包含所有可用的 openssl 密码（这些密码被禁用时，基于 SSL v2/v3 的情况除外）

- 添加了 cve-2013-4559.patch (bnc#850468) 检查 setuid,setgid,setgroups 是否成功

- 添加了 cve-2013-4560.patch (bnc#850469) FAM：修复释放后使用

-添加了 cve-2013-4508.patch 和 cve-2013-4508-regression-bug729480.patch：(bnc#849059) 当定义 ssl.cipher-list 时，它对“默认”HTTPS 设置有效（$SERVER[’socket’] 443 区块），但是，当您使用 SNI（$SERVER[’socket’] 区块中的 $HTTP[’host’] 区块）时，ssl.cipher-list 似乎不继承到主机区块，而是将默认包含所有可用的 openssl 密码（这些密码被禁用时，基于 SSL v2/v3 的情况除外）

- 添加了 cve-2013-4559.patch (bnc#850468) 检查 setuid,setgid,setgroups 是否成功

- 添加了 cve-2013-4560.patch (bnc#850469) FAM：修复释放后使用

在 lighttpd Web 服务器中发现多个漏洞。

已发现 lighttpd 的 DSA-2795-1 更新后，客户端证书的 SSL 连接停止工作。现在已应用上游修补程序，可提供相应标识符用于客户端证书验证。

- CVE-2013-4508 已发现启用 SNI（服务器名称指示）时 lighttpd 使用弱 ssl 密码。通过确保在选定 SNI 时使用较强的 ssl 密码，解决了此问题。

- CVE-2013-4559 clang 静态分析器用于发现由于缺少对 lighttpd 的 setuid、setgid 和 setgroups 调用的检查导致的权限升级问题。现在已正确检查这些调用。

- CVE-2013-4560 clang 静态分析器用于发现 FAM stat 缓存引擎启用时的释放后使用问题，此问题现已修复。

远程攻击者可利用低于 1.4.33 的 lighttpd 中的释放后使用漏洞，通过可触发 FAMMonitorDirectory 失败的不明矢量造成拒绝服务（分段错误和崩溃）。

当启用了 SNI 时，低于 1.4.34 的 lighttpd 将配置弱 SSL 密码，这使远程攻击者可通过在客户端-服务器数据流中插入数据包更轻松地劫持会话，或通过嗅探网络更轻松地获取敏感信息。

低于 1.4.33 的 lighttpd 未检查 (1) setuid、(2) setgid 或 (3) setgroups 函数的返回值，这可能造成 lighttpd 在重新启动时以根用户身份运行，并允许远程攻击者获取权限，这一点已通过对达到用户进程限制时可导致 setuid 失败的 clone 函数的多种调用证实。

更新后的 lighttpd 程序包修复了安全漏洞：

当启用了 SNI 时，低于 1.4.34 的 lighttpd 将配置弱 SSL 密码，这使远程攻击者可通过在客户端-服务器数据流中插入数据包更轻松地劫持会话，或通过嗅探网络更轻松地获取敏感信息 (CVE-2013-4508)。

在 1.4.34 之前的 lighttpd 中，如果 setuid() 因任何原因而发生故障，例如环境限制用户可拥有的进程数量且目标 uid 已达到限制，lighttpd 将以根用户身份运行。能够运行 CGI 脚本的用户可经常进行 clone()；在此情况下，lighttpd 重新启动将以 lighttpd 以根用户身份运行告终，CGI 脚本也将以根用户身份运行 (CVE-2013-4559)。

在 1.4.34 之前的 lighttpd 中，如果启用了 fam 并且存在可从 FAMMonitorDirectory 失败的配置 doc 根和别名访问的目录，则远程客户端可触发 DoS (CVE-2013-4560)。

根据其标题，远程主机上运行的 lighttpd 版本低于 1.4.34。因此，该应用程序受到以下漏洞的影响：

  - 启用了服务器名指示 (SNI) 时，存在一个可导致应用程序使用所有可用 SSL 密码（包括弱密码）的缺陷。远程攻击者可能会通过嗅探网络来劫持会话或者获得敏感信息。
    请注意，仅版本 1.4.24 到 1.4.33 受影响。
    (CVE-2013-4508)

  - clang 静态分析器中存在一个缺陷，原因是其未能执行关于 setuid (1)、setgid (2) 和 setgroups (3) 调用的检查。这可允许远程攻击者获得提升的权限。(CVE-2013-4559)

  - 启用了 FAM 静态缓存引擎时，clang 静态分析器中存在一个释放后使用错误。
    这可允许远程攻击者取消引用已释放的内存并导致程序崩溃。
    (CVE-2013-4560)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

远程主机受到 GLSA-201406-10 中所述漏洞的影响（lighttpd：多个漏洞）

    在 lighttpd 中发现了多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可创建拒绝服务情况。
      此外，远程攻击者可能可以执行任意 SQL 语句。
  变通方案：

    目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
112357	lighttpd < 1.4.34 多个漏洞	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
72494	FreeBSD：lighttpd -- 多种漏洞 (90b27045-9530-11e3-9d09-000c2980a9f3)	Nessus	FreeBSD Local Security Checks	2014/2/14	2021/1/6	high
72651	Fedora 20：lighttpd-1.4.34-3.fc20 (2014-2495)	Nessus	Fedora Local Security Checks	2014/2/24	2021/1/11	high
75389	openSUSE 安全更新：lighttpd (openSUSE-SU-2014:0072-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
70982	Debian DSA-2795-2：lighttpd - 多个漏洞	Nessus	Debian Local Security Checks	2013/11/21	2021/1/11	high
72947	Amazon Linux AMI：lighttpd (ALAS-2014-299)	Nessus	Amazon Linux Local Security Checks	2014/3/12	2018/4/18	high
71031	Mandriva Linux 安全公告：lighttpd (MDVSA-2013:277)	Nessus	Mandriva Local Security Checks	2013/11/22	2021/1/6	high
72652	Fedora 19：lighttpd-1.4.34-3.fc19 (2014-2506)	Nessus	Fedora Local Security Checks	2014/2/24	2021/1/11	high
72815	lighttpd < 1.4.34 多个漏洞	Nessus	Web Servers	2014/3/5	2018/7/13	high
76062	GLSA-201406-10 : lighttpd：多个漏洞	Nessus	Gentoo Local Security Checks	2014/6/16	2021/1/6	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high