Avis du CERT-FR

Json

Objet : Vulnérabilités de webalizer

Gestion du document

Référence	CERTA-2001-AVI-132
Titre	Vulnérabilités de webalizer
Date de la première version	26 octobre 2001
Date de la dernière version	26 octobre 2001
Source(s)

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code arbitraire

Systèmes affectés

Webalizer versions 2.01-06 et antérieures.

Résumé

Deux vulnérabilités du programme webalizer permettent à un utilisateur mal intentionné d'inclure des scripts dans les rapports HTML générés par webalizer.

Description

Webalizer est un programme permettant de traiter les fichiers de logs d'un serveur HTTP. La nature de certains champs des fichiers de logs n'est pas vérifiée par le programme, et sont intégralement retranscrits dans le rapport généré en HTML.

Un utilisateur mal intentionné peut y inclure des scripts, qui seront exécutés soit par un navigateur parcourant ce rapport, soit par d'autres programmes qui interprètent ces rapports.

Les deux champs vulnérables sont :

le nom de la machine accèdant au serveur HTTP ;
le champ Referer.

Contournement provisoire

Si la résolution DNS est activée dans webalizer (option -enable-dns), s'assurer que le système de résolution DNS inverse filtre les méta-caractères HTML.

Modifier la configuration de webalizer pour qu'il ne traite plus le champ Referer des fichiers de logs (ce champ est traité dans la configuration par défaut).

Solution

Télécharger le correctif :

ftp://ftp.mrunix.net/pub/webalizer/sec-fix.patch

ou mettre à jour webalizer à la version 2.01-09.

Gestion détaillée du document

Date	Description
26 octobre 2001	version initiale.