2017-1443: Apache Software Foundation HTTP-Server: Mehrere Schwachstellen ermöglichen u.a. die Durchführung von Denial-of-Service-Angriffen

Historie:

Version 1 (2017-08-16 13:18): Neues Advisory
Version 2 (2017-08-17 12:59): Für die Red Hat Software Collections 1 für RHEL 6 und 7 steht ein Update für 'httpd24-httpd' zur Verfügung, mit dem neben den bisher referenzierten Schwachstellen auch die Denial-of-Service-Schwachstelle CVE-2017-7659 behoben wird.
Version 3 (2017-09-13 19:54): Für SUSE OpenStack Cloud 6 sowie SUSE Linux Enterprise Server for SAP 12 SP1 und Server 12 SP1 LTSS stehen Sicherheitsupdates zur Behebung der Schwachstellen CVE-2017-3167, CVE-2017-3169, CVE-2017-7679 und CVE-2017-9788 bereit.

Betroffene Software

Server

Betroffene Plattformen

Netzwerk
Cloud
Linux
Oracle

Beschreibung:

Mehrere Schwachstellen in Apache Software Foundation HTTP-Server ermöglichen einem entfernten, nicht authentisierten Angreifer verschiedene Denial-of-Service (DoS)-Angriffe, das Ausspähen von Informationen und das Umgehen von Sicherheitsvorkehrungen.

Red Hat stellt für die Red Hat Enterprise Linux 6 und 7 Produktvarianten Server, Workstation, Desktop und Linux for Scientific Computing sowie für Compute Node 7.4 Extended Update Support (EUS) und die Server 7.4 Produktversionen Extended Update Support (EUS), Advanced Update Support (AUS) und Telco Update Support (TUS) Sicherheitsupdates für 'httpd' bereit. Die Schwachstelle CVE-2017-7668 wird von den Sicherheitsupdates für Red Hat Enterprise Linux 6 nicht adressiert.

Oracle stellt für Oracle Linux 6 (i386, x86_64) und Oracle Linux 7 (x86_64) Sicherheitsupdates für 'httpd' bereit. Das Sicherheitsupdate für Oracle Linux 6 adressiert die Schwachstelle CVE-2017-7668 nicht.

Schwachstellen:

CVE-2017-3167

Schwachstelle in Apache HTTP-Server (httpd) ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2017-3169

Schwachstelle in Apache HTTP-Server (httpd) ermöglicht Denial-of-Service-Angriff

CVE-2017-7659

Schwachstelle in Apache HTTP-Server (httpd) ermöglicht Denial-of-Service-Angriff

CVE-2017-7668

Schwachstelle in Apache HTTP-Server (httpd) ermöglicht Denial-of-Service-Angriff oder Ausspähen von Informationen

CVE-2017-7679