リモートからの攻撃 Debian の安定版のディストリビューションに含まれる 'apache' http デーモンには SecurityFocus で詳細に記述されている「人工的に作成されたスラッシュが長く連続するパスリストに関する弱点」があるという報告がありました。

この弱点は Dan Harkless さんにより bugtraq に報告されたものです。

この弱点についての SecurityFocus の解説から引用します。

パッケージに問題があり、ディレクトリ表示とパス探索を許してしまっています。 標準設定下では apache は mod_dir、mod_autoindex、mod_autoindex と mod_negotiation を有効にしていますが、apache サーバに対して特別に作成した人工的に作成した多数のスラッシュからなるリクエストを与えることにより、 これらのモジュールを誤動作させ、エラーページを回避してディレクトリの内容のリストを表示させることができます。

この弱点を使って悪意を持ったリモートのユーザが情報を抜き取る攻撃を行うことができますし、 これはシステムに対する攻撃につながるかもしれません。 この脆弱性は、Apache のバージョン 1.3.19 以前のものすべてにあります。

この問題は apache-ssl 1.3.9-13.3 と apache_1.3.9-14 で修正されており、すぐにパッケージをアップグレードすることを薦めます。 # do not modify the following line #include "$(ENGLISHDIR)/security/2001/dsa-067.data"