Avis du CERT-FR
Objet : Vulnérabilité sur Apache
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Déni de service
- Exécution de code arbitraire à distance
Systèmes affectés
- Apache versions 1.3.x jusqu'à la version 1.3.24 incluse ;
- Apache versions 2.0.x jusqu'à la version 2.0.36 incluse.
Résumé
Une vulnérabilité dans le traitement de certaines requêtes sur Apache permet à un utilisateur mal intentionné d'effectuer un déni de service ou d'exécuter du code arbitraire.
Description
Avec le protocole HTTP 1.1, il est possible d'utiliser l'algorithme chunk lorsque la taille des données à envoyer au serveur n'est pas connue à l'avance.
Une vulnérabilité présente dans la routine de traitement des requêtes utilisant cet algorithme peut provoquer l'arrêt du processus fils traitant cette requête.
Dans les versions 2.0.x du serveur Apache, cette vulnérabilité ne peut pas être exploitée pour exécuter du code sur le serveur, mais peut provoquer un déni de service par l'arrêt et le redémarrage de nombreux processus.
Les plates-formes Windows et Netware sont plus sensibles que les autres à ce phénomène.
Dans les versions 1.3.x du serveur, il est en revanche possible de provoquer, par cette vulnérabilité, un débordement de pile et d'exécuter du code arbitraire.
Solution
Les versions 1.3.26 et 2.0.39 corrigent la vulnérabilité.
Consulter votre éditeur pour obtenir une mise à jour ou télécharger un correctif sur le site Apache Software Foundation (cf. Documentation).
Documentation
-
Avis CA-2002-17 du Cert-CC
http://www.cert.org/advisories/CA-2002-17.html
Gestion détaillée du document
| Date | Description |
|---|---|
| 18 juin 2002 | version initiale. |
| 19 juin 2002 | première révision : ajout de précisions sur la vulnérabilité et de l'avis SGI. |
| 20 juin 2002 | deuxième révision : ajout des avis RedHat, SuSE et Debian. |
| 11 juillet 2002 | troisième révision : ajout de l'avis Hewlett Packard. |