遠端主機執行的 Mac OS X 10.10.x 版本比 10.10.3 版舊。因此，其會受到下列元件中的多個弱點影響：

- Admin Framework
 - Apache
 - ATS
 - Certificate Trust Policy
 - CFNetwork HTTPProtocol
 - CFNetwork Session
 - CFURL
 - CoreAnimation
 - FontParser
 - Graphics Driver
 - Hypervisor
 - ImageIO
 - IOHIDFamily
 - Kernel
 - LaunchServices
 - libnetcore
 - ntp
 - Open Directory Client
 - OpenLDAP
 - OpenSSL
 - PHP
 - QuickLook
 - SceneKit
 - ScreenSharing
 - Security - Code SIgning
 - UniformTypeIdentifiers
 - WebKit

請注意，如果成功惡意利用多數嚴重問題，將會導致任意程式碼執行。

Apache HTTP SERVER PROJECT 報告：mod_proxy：修正 Connection 標頭處理中的損毀，其允許對使用階層式 MPM 的反向代理伺服器發動拒絕服務攻擊。

修正計分板處理中可能導致堆積緩衝區溢位的爭用情形。

mod_deflate：DEFLATE 輸入篩選 (造成要求內文上下凸出) 現在會限制上下凸出的要求內文的長度和壓縮率，以避免透過高度壓縮的內文引發拒絕服務。請參閱指示詞 DeflateInflateLimitRequestBody、DeflateInflateRatioLimit 與 DeflateInflateRatioBurst。

mod_cgid：修正 CGI 指令碼不消耗 stdin 而可能導致延遲 HTTPD 子處理程序填滿計分板，並最終使伺服器懸置的拒絕服務。依照預設，用戶端 I/O 逾時 (逾時指示詞) 現在適用於與指令碼之間的通訊。CGIDScriptTimeout 指示詞可被用來設定與指令碼之間通訊的不同逾時。

來自 Red Hat 安全性公告 2014:0921：

現已提供適用於 Red Hat Enterprise Linux 7 的更新版 httpd 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

httpd 套件提供 Apache HTTP Server，這是一款強大、有效且可延伸的 Web 伺服器。

在 mod_status httpd 模組中發現導致堆積型緩衝區溢位的爭用情形瑕疵。能夠在伺服器上使用階層式多處理模組 (MPM) 存取 mod_status 提供服務之狀態頁面的遠端攻擊者，可能傳送特製要求，導致 httpd 子處理程序損毀，或可能讓攻擊者以‘apache’使用者的權限執行任意程式碼。(CVE-2014-0226)

在 mod_cache httpd 模組中發現一個 NULL 指標解除參照瑕疵。當使用 Apache HTTP Server 轉送含有快取的代理伺服器時，惡意 HTTP 伺服器可能導致 httpd 子處理程序當機。(CVE-2013-4352)

在 mod_proxy httpd 模組中發現一個拒絕服務瑕疵。遠端攻擊者可能傳送特製要求給伺服器，其設定為使用階層式多處理模組 (MPM) 的反向代理伺服器，可能導致 httpd 子處理程序損毀。
(CVE-2014-0117)

在 httpd 的 mod_deflate 模組處理要求內文解壓縮 (透過 DEFLATE 輸入篩選設定) 的方式中發現拒絕服務瑕疵。能夠傳送其內文會遭到解壓縮之要求的遠端攻擊者可能會利用此瑕疵在目標系統上消耗過量系統記憶體與 CPU。
(CVE-2014-0118)

在 httpd 的 mod_cgid 模組執行並非從標準輸入讀取資料之 CGI 指令碼的方式中發現拒絕服務瑕疵。遠端攻擊者可能會提交特製的要求，導致 httpd 子處理程序無限期懸置。(CVE-2014-0231)

建議所有 httpd 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。安裝更新版套件之後，httpd 程序會自動重新啟動。

Marek Kroemeke 發現 mod_proxy 模組未正確處理特定要求。遠端攻擊者可利用此問題造成伺服器停止回應，進而導致拒絕服務。
這個問題只會影響 Ubuntu 14.04 LTS。(CVE-2014-0117)

Giancarlo Pellegrino 和 Davide Balzarotti 發現 mod_deflate 模組未正確處理內文解壓縮程序。遠端攻擊者可利用此問題，造成資源消耗，進而導致拒絕服務。(CVE-2014-0118)

Marek Kroemeke 及其他人發現 mod_status 模組未正確處理特定要求。遠端攻擊者可利用此問題造成伺服器停止回應，進而導致拒絕服務或可能執行任意程式碼。(CVE-2014-0226)

Rainer Jung 發現 mod_cgid 模組未正確處理特定指令碼。遠端攻擊者可利用此問題造成伺服器停止回應，進而導致拒絕服務。
(CVE-2014-0231).

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此 apache2 更新可修正下列安全性問題：

- 修正 mod_proxy 處理具有反向代理伺服器組態的特製要求時的當機，避免伺服器發生當機或 DoS 情形。
 CVE-2014-0117

- 在新檔案 conf.d/cgid-timeout.conf 中將新組態選項 CGIDScriptTimeout 設為 60 秒，防止背景工作處理程序在其啟動的 cgi 停止讀取來自伺服器的輸入時發生永遠懸置 (DoS)。
 CVE-2014-0231

- 修正 mod_cache 中會造成快取轉送組態損毀的 NULL 指標解除參照，避免 DoS 情形。CVE-2013-4352

- 修正剖析 Cookie 內容時的當機，避免伺服器出現 DoS CVE-2014-0098

- 修正計分板處理過程中出現的 mod_status 爭用情形，以及若將 mod_status 存取權授予潛在攻擊者，可能會導致的連續堆積溢位和資訊洩漏。CVE-2014-0226

- 修正 CDATA 區段至 mod_dav 的空白字元不當處理，避免 apache 伺服器處理程序發生當機和 DoS 情形 CVE-2013-6438

更新后的 apache 程序包修复了安全漏洞：

处理 DAV_WRITE 请求时，2.4.9 之前的 Apache HTTPD 容易遭受 mod_dav 中的拒绝服务攻击 (CVE-2013-6438)。

记录 cookies 时，2.4.9 之前的 Apache HTTPD 容易遭受拒绝服务攻击 (CVE-2014-0098)。

在 mod_status httpd 模块中发现导致基于堆的缓冲区溢出的争用条件缺陷。能够使用线程化多重处理模块 (MPM) 访问服务器上由 mod_status 提供服务的状态页面的远程攻击者可以发送特别构建的请求，以导致 httpd 子进程崩溃，或者可能允许攻击者以 apache 用户的权限执行任意代码 (CVE-2014-0226)。

在 mod_proxy httpd 模块中发现拒绝服务缺陷。远程攻击者可以向配置为使用线程式多重处理模块 (MPM) 的反向代理的服务器发送特别构建的请求，从而导致 httpd 子进程崩溃 (CVE-2014-0117)。

在 httpd 的 mod_deflate 模块处理请求正文解压缩（通过 DEFLATE 输入过滤器配置）的方式中发现拒绝服务缺陷。能够发送其正文需要解压缩的请求的远程攻击者可以利用此缺陷消耗目标系统上的大量系统内存和 CPU (CVE-2014-0118)。

已发现 httpd 的 mod_cgid 模块执行未从标准输入读取数据的 CGI 脚本的方式中存在拒绝服务缺陷。远程攻击者可提交特别构建的请求，以导致 httpd 子进程无限期挂起 (CVE-2014-0231)。

在 mod_cache httpd 模块处理 Content-Type 标头的方式中发现空指针取消引用缺陷。将 Apache HTTP Server 配置为指向启用了缓存的服务器的代理时，恶意 HTTP 服务器可造成 httpd 子进程崩溃 (CVE-2014-3581)。

2.4.10 之前的 Apache HTTP Server 的 mod_lua 模块中的 mod_lua.c 并不支持同一 Lua 授权提供程序用于不同上下文中不同参数的 httpd 配置，这允许远程攻击者通过利用多条 Require 指令来绕过机会型环境下的预期访问限制，这通过指定一个组授权访问某个目录，并授权第二组访问第二个目录的配置所证实 (CVE-2014-8109)。

在 2.4.10 之前的 Apache HTTP Server 的 mod_lua 模块中，某脚本调用 r:wsupgrade() 后，恶意构建的 websockets PING 可造成子进程崩溃 (CVE-2015-0228)。

当处理使用分块编码的请求时，在 httpd 处理 HTTP 尾部标头的方式中发现一个缺陷。恶意客户端可使用尾部标头在其他模块执行了标头处理之后设置附加 HTTP 标头。例如，这可导致绕过 mod_headers 定义的标头限制 (CVE-2013-5704)。

注意：通过此更新，httpd 已修改为不合并 HTTP Trailer 标头与其他 HTTP 请求标头。新引入的配置指令 MergeTrailers 可用于重新启用处理 Trailer 标头的老方法，从而也重新引入了上述缺陷。

此更新还修复以下缺陷：

在此更新之前，如果配置为使用采用 wss: URL 方案的后端服务器，则 mod_proxy_wstunnel 模块无法设置 SSL 连接，从而导致代理连接失败。在这些更新后的程序包中，如果代理到 wss: 后端服务器则使用 SSL (rhbz#1141950)。

远程主机运行的 Mac OS X 10.10.x 版低于 10.10.3。因此，它受到以下组件中多种漏洞的影响：

- Admin Framework
 - Apache
 - ATS
 - Certificate Trust Policy
 - CFNetwork HTTPProtocol
 - CFNetwork Session
 - CFURL
 - CoreAnimation
 - FontParser
 - Graphics Driver
 - Hypervisor
 - ImageIO
 - IOHIDFamily
 - Kernel
 - LaunchServices
 - libnetcore
 - ntp
 - Open Directory Client
 - OpenLDAP
 - OpenSSL
 - PHP
 - QuickLook
 - SceneKit
 - ScreenSharing
 - Security - Code SIgning
 - UniformTypeIdentifiers
 - WebKit

请注意，如果成功利用最严重的问题则可能导致执行任意代码。

Apache HTTP SERVER PROJECT 报告：mod_proxy：修复了连接标头处理中的崩溃，此崩溃允许对具有线程式 MPM 的反向代理发起拒绝服务攻击。

修复了可能导致堆缓冲区溢出的记分板处理中的争用条件。

mod_deflate：DEFLATE 输入过滤器（可导致请求正文膨胀）现在限定了已膨胀请求正文的长度和压缩比率，以避免高度压缩的正文所导致的拒绝服务。请参阅指令 DeflateInflateLimitRequestBody、DeflateInflateRatioLimit 和 DeflateInflateRatioBurst。

mod_cgid：修复了针对不消耗 stdin 的 CGI 脚本的拒绝服务，该缺陷可导致延迟 HTTPD 子进程填满记分板并最终导致服务器挂起。在默认情况下，客户端 I/O 超时（超时指令）现在适用于与脚本进行通信。CGIDScriptTimeout 指令可用于为与脚本进行的通信设置不同的超时。

来自 Red Hat 安全公告 2014:0921：

更新后的 httpd 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

httpd 程序包提供 Apache HTTP Server（一款强大、高效、可扩展的 Web 服务器）。

在 mod_status httpd 模块中发现导致基于堆的缓冲区溢出的争用条件缺陷。能够访问由 mod_status 在使用线程式多重处理模块 (MPM) 的服务器上提供的状态页面的远程攻击者可以发送特别构建的请求，从而导致 httpd 子进程崩溃或可能允许攻击者以“apache”用户的权限执行任意代码。(CVE-2014-0226)

在 mod_cache httpd 模块中发现空指针取消引用缺陷。将 Apache HTTP Server 用作具有缓存的正向代理时，恶意 HTTP 服务器可导致 httpd 子进程崩溃。(CVE-2013-4352)

在 mod_proxy httpd 模块中发现拒绝服务缺陷。远程攻击者可以向配置为使用线程式多重处理模块 (MPM) 的反向代理的服务器发送特别构建的请求，从而导致 httpd 子进程崩溃。
(CVE-2014-0117)

在 httpd 的 mod_deflate 模块处理请求正文解压缩（通过 DEFLATE 输入过滤器配置）的方式中发现拒绝服务缺陷。能够发送其正文可被解压缩的请求的远程攻击者可利用此缺陷消耗目标系统上过多的系统内存和 CPU。
(CVE-2014-0118)

已发现 httpd 的 mod_cgid 模块执行未从标准输入读取数据的 CGI 脚本的方式中存在拒绝服务缺陷。远程攻击者可提交特别构建的请求，以导致 httpd 子进程无限期挂起。(CVE-2014-0231)

建议所有 httpd 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。安装更新后的程序包后，httpd 后台程序将自动重新启动。

Marek Kroemeke 发现 mod_proxy 模块未正确处理某些请求。远程攻击者可利用此问题造成服务器停止响应，从而导致拒绝服务。
此问题仅影响 Ubuntu 14.04 LTS。(CVE-2014-0117)

Giancarlo Pellegrino 和 Davide Balzarotti 发现，mod_deflate 模块未正确处理正文解压缩。远程攻击者可利用此问题来造成资源消耗，从而导致拒绝服务。(CVE-2014-0118)

Marek Kroemeke 及其他人发现，mod_status 模块未正确处理某些请求。远程攻击者可利用此问题来造成服务器停止响应，从而导致拒绝服务或者可能执行任意代码。(CVE-2014-0226)

Rainer Jung 发现，mod_cgid 模块未正确处理某些脚本。远程攻击者可利用此问题造成服务器停止响应，从而导致拒绝服务。
(CVE-2014-0231)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

此 apache2 更新修复了以下安全问题：

- 修复了 mod_proxy 在处理特别构建的包含反向代理配置的请求时发生的崩溃，该漏洞可导致服务器崩溃和 DoS 情况。
 CVE-2014-0117

- 新配置选项 CGIDScriptTimeout 在新文件 conf.d/cgid-timeout.conf 中设置为 60s，可防止工作进程在从它们启动的 cgi 停止读取服务器的输入时永远挂起 (DoS)。
 CVE-2014-0231

- 修复了 mod_cache 中的空指针取消引用，该漏洞可造成缓存转发配置时崩溃，从而导致 DoS 情况。CVE-2013-4352

- 修复了解析 Cookie 内容时发生的崩溃，该漏洞会导致对服务器 DoS CVE-2014-0098

- 修复当 mod_status 的访问权限被授予潜在攻击者时记分板处理中的 mod_status 争用条件以及连续堆溢出和信息泄露。CVE-2014-0226

- 修复了从 CDATA 部分到 mod_dav 的空格字符的不正确处理，该漏洞会导致 apache 服务器进程崩溃和 DoS 情况 CVE-2013-6438

Versions of Apache HTTP server 2.4.6, 2.4.7, and 2.4.9 are unpatched for the following vulnerability:

  - A crash in Connection header handling, which can lead to denial of service against a reverse proxy (CVE-2014-0117)

The remote host is running a version of Mac OS X 10.10.x that is prior to 10.10.3. It is, therefore, affected by multiple vulnerabilities in the following components :

 - Admin Framework
 - Apache
 - ATS
 - Certificate Trust Policy
 - CFNetwork HTTPProtocol
 - CFNetwork Session
 - CFURL
 - CoreAnimation
 - FontParser
 - Graphics Driver
 - Hypervisor
 - ImageIO
 - IOHIDFamily
 - Kernel
 - LaunchServices
 - libnetcore
 - ntp
 - Open Directory Client
 - OpenLDAP
 - OpenSSL
 - PHP
 - QuickLook
 - SceneKit
 - ScreenSharing
 - Security - Code SIgning
 - UniformTypeIdentifiers
 - WebKit

Note that successful exploitation of the most serious issues can result in arbitrary code execution.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
82699	Mac OS X 10.10.x < 10.10.3 多個弱點 (FREAK)	Nessus	MacOS X Local Security Checks	2015/4/10	2024/5/28	critical
76614	FreeBSD : apache24 -- 數個弱點 (4364e1f1-0f44-11e4-b090-20cf30e32f6d)	Nessus	FreeBSD Local Security Checks	2014/7/21	2021/1/6	medium
76745	Oracle Linux 7：httpd (ELSA-2014-0921)	Nessus	Oracle Linux Local Security Checks	2014/7/24	2021/1/14	medium
76757	Ubuntu 14.04 LTS：Apache HTTP Server 弱點 (USN-2299-1)	Nessus	Ubuntu Local Security Checks	2014/7/24	2023/10/20	high
77292	openSUSE 安全性更新：apache2 (openSUSE-SU-2014:1044-1)	Nessus	SuSE Local Security Checks	2014/8/21	2021/1/19	medium
82346	Mandriva Linux 安全公告：apache (MDVSA-2015:093)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium
82699	Mac OS X 10.10.x < 10.10.3 多种漏洞 (FREAK)	Nessus	MacOS X Local Security Checks	2015/4/10	2024/5/28	critical
76614	FreeBSD：apache24 -- 多种漏洞 (4364e1f1-0f44-11e4-b090-20cf30e32f6d)	Nessus	FreeBSD Local Security Checks	2014/7/21	2021/1/6	medium
76745	Oracle Linux 7：httpd (ELSA-2014-0921)	Nessus	Oracle Linux Local Security Checks	2014/7/24	2021/1/14	medium
76757	Ubuntu 14.04 LTS：Apache HTTP Server 漏洞 (USN-2299-1)	Nessus	Ubuntu Local Security Checks	2014/7/24	2023/10/20	high
77292	openSUSE 安全更新：apache2 (openSUSE-SU-2014:1044-1)	Nessus	SuSE Local Security Checks	2014/8/21	2021/1/19	medium
700213	Apache HTTP Server 2.4.6, 2.4.7, 2.4.9 Vulnerability	Nessus Network Monitor	Web Servers	2014/7/29	2018/9/16	medium
700510	Mac OS X 10.10.x < 10.10.3 Multiple Vulnerabilities	Nessus Network Monitor	Operating System Detection	2019/4/10	2019/4/10	critical

检测

插件搜索

critical

medium

medium

high

medium

medium

critical

medium

medium

high

medium

medium

critical