Versión de Apache falsa positiva en los resultados del escáner en Centos

Lo que estás experimentando es un problema común. Los escáneres de vulnerabilidad que se basan en los banners de servicio no tratan con proveedores como Red Hat, que realiza actualizaciones de seguridad de puerto. También son propensos a hacer suposiciones sobre la configuración que conducen a falsos positivos.

Es posible que pueda mejorar la precisión de la exploración ejecutando una exploración con credenciales. Si su escáner lo admite, puede especificar las credenciales de la cuenta que usará para iniciar sesión y ver la información "interna". Por ejemplo, puede usar 'rpm' para determinar qué paquete real de Apache está instalado y basar su veredicto en lugar de la pancarta que el servicio imprime en escáneres externos. Dicho escáner debería tener acceso a una base de datos actualizada que le dirá cuáles son los problemas reales.

Si su escáner no lo hace, entonces la solución habitual es hacerlo usted mismo. Tendría que buscar si está ejecutando la versión más reciente. Por ejemplo, @Rook señala que hay vulnerabilidades de Apache más nuevas que el paquete al que hace referencia. Mirando esas vulnerabilidades, puede extraer el ID de CVE y buscarlo en la Base de datos de CVE de Red Hat . Por ejemplo, su entrada para CVE-2013-1862 le señala la errata RHSA-2013:0815 que dice que httpd-2.2.15-28 contiene correcciones para ese CVE. También señala que hay una versión más nueva de RHBA, así que hay un paquete más nuevo con correcciones de errores (pero no de seguridad). Repita ese proceso para cualquier otra CVE que le preocupe y puede tomar una decisión informada sobre si está parcheado a pesar de lo que dice el banner. Si el paquete de CentOS es una correlación directa con el paquete de RHEL, debería estar bien, pero el paquete de RHEL se anunció el 5/13, por lo que no sé cómo la fecha de lanzamiento de 3/2 de @Rook coincide con eso. p>

(La versión más corta, BTW, es "sí, este material es un PITA conocido".)

Todas las herramientas de seguridad producen falsos positivos, y esto no debería tratarse de manera diferente. Si tiene problemas con este informe, sugiero que busque un enfoque diferente para las pruebas, tal vez uno que no dependa de una herramienta rota.

Dicho esto, httpd-2.2.15-26.el6.centos.x86_64 se lanzó el 2 de marzo de 2013, y ha habido un par de vulnerabilidades encontradas en Apache desde 2 de marzo . Lo mejor sería verificar manualmente que estas exposiciones no le afectan.