Межсайтовое выполнение сценариев

Средняя (4.3)

(AV:N/AC:M/Au:N/C:N/I:P/A:N)

Apache Software Foundation

Apache HTTP Server (1.3.0, 1.3.39, 2.0.0, 2.0.61, 2.2.0, 2.2.6)

Межсайтовое выполнение сценариев в модуле mod_negotiation в Apache HTTP Server позволяет удаленным пользователям, которые прошли аутентификацию, внедрить произвольный веб-сценарий или HTML-код, загрузив файл, имя которого содержит XSS-последовательности и расширение файла, что ведет к внедрению в"406 Not Acceptable" или "300 Multiple Choices" HTTP-ответе, когда в запросе на файл пропущено расширение.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
http://www.apache.org/

BUGTRAQ (20080122 Apache mod_negotiation Xss and Http Response Splitting): http://www.securityfocus.com/archive/1/archive/1/486847/100/0/threaded
http://www.mindedsecurity.com/MSA01150108.html
BID (27409): http://www.securityfocus.com/bid/27409
SECTRACK (1019256): http://securitytracker.com/id?1019256
XF (apache-modnegotiation-xss(39867)): http://xforce.iss.net/xforce/xfdb/39867