Lucene search

RootSSV:3182

HistoryApr 17, 2008 - 12:00 a.m.

Lighttpd SSL错误拒绝服务漏洞

2008-04-1700:00:00

Root

www.seebug.org

EPSS

0.1

Percentile

95.0%

JSON

BUGTRAQ ID: 28489
CVE(CAN) ID: CVE-2008-1531

Lighttpd是一款轻型的开放源码Web Server软件包。

lighttpd没有正确地清除OpenSSL错误队列，如果远程攻击者可以触发SSL错误的话，如在下载结束前断开连接，lighttpd就可能断开所有活动的SSL连接。

LightTPD 1.4.19
厂商补丁：

Debian

Debian已经为此发布了一个安全公告（DSA-1540-2）以及相应补丁:
DSA-1540-2：New lighttpd packages fix denial of service
链接：<a href=“http://www.debian.org/security/2008/dsa-1540” target=“_blank”>http://www.debian.org/security/2008/dsa-1540</a>

补丁下载：

Source archives:

<a href=“http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd_1.4.13-4etch8.diff.gz” target=“_blank”>http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd_1.4.13-4etch8.diff.gz</a>
Size/MD5 checksum: 37420 89efdab79fcbac119000a64cab648fcd
<a href=“http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd_1.4.13.orig.tar.gz” target=“_blank”>http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd_1.4.13.orig.tar.gz</a>
Size/MD5 checksum: 793309 3a64323b8482b0e8a6246dbfdb4c39dc
<a href=“http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd_1.4.13-4etch8.dsc” target=“_blank”>http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd_1.4.13-4etch8.dsc</a>
Size/MD5 checksum: 1098 87a04c4e704dd7921791bc44407b5e0e

Architecture independent packages:

<a href=“http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd-doc_1.4.13-4etch8_all.deb” target=“_blank”>http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd-doc_1.4.13-4etch8_all.deb</a>
Size/MD5 checksum: 99618 ae68b64b7c0df0f0b3a9d19b87e7c40a

amd64 architecture (AMD x86_64 (AMD64))

hppa architecture (HP PA RISC)

i386 architecture (Intel ia32)

ia64 architecture (Intel ia64)

mips architecture (MIPS (Big Endian))

mipsel architecture (MIPS (Little Endian))

powerpc architecture (PowerPC)

s390 architecture (IBM S/390)

补丁安装方法：

手工安装补丁包：

首先，使用下面的命令来下载补丁软件：

wget url (url是补丁下载链接地址)

然后，使用下面的命令来安装补丁：

dpkg -i file.deb (file是相应的补丁名)

使用apt-get自动安装补丁包：

首先，使用下面的命令更新内部数据库：

apt-get update

然后，使用下面的命令安装更新软件包：

apt-get upgrade

Gentoo

Gentoo已经为此发布了一个安全公告（GLSA-200804-08）以及相应补丁:
GLSA-200804-08：lighttpd: Multiple vulnerabilities
链接：<a href=“http://security.gentoo.org/glsa/glsa-200804-08.xml” target=“_blank”>http://security.gentoo.org/glsa/glsa-200804-08.xml</a>

所有lighttpd用户都应升级到最新版本：

# emerge --sync
# emerge --ask --oneshot --verbose &quot;&gt;=3Dwww-servers/lighttpd-1.4.19-r=2&quot;

LightTPD

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

<a href=“http://trac.lighttpd.net/trac/changeset/2136” target=“_blank”>http://trac.lighttpd.net/trac/changeset/2136</a>
<a href=“http://trac.lighttpd.net/trac/changeset/2139” target=“_blank”>http://trac.lighttpd.net/trac/changeset/2139</a>

EPSS

0.1

Percentile

95.0%

JSON

Related for SSV:3182

Lighttpd SSL错误拒绝服务漏洞

Debian

wget url (url是补丁下载链接地址)

dpkg -i file.deb (file是相应的补丁名)

apt-get update

apt-get upgrade

Gentoo

LightTPD

Related