Avis du CERT-FR

Json

Objet : Multiples vulnérabilités du serveur HTTP Apache

Gestion du document

Référence	CERTA-2003-AVI-095
Titre	Multiples vulnérabilités du serveur HTTP Apache
Date de la première version	02 juin 2003
Date de la dernière version	02 juin 2003
Source(s)	"Apache portable runtime denial of service and arbitrary code execution vulnerability" Annonce Apache 2.0.46 Bulletin de sécurité d'iDEFENSE

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Déni de service
Exécution de code arbitraire à distance

Systèmes affectés

Apache versions 2.0.37 à 2.0.45 pour la vulnérabilité dans la bibliothèque APR (Apache Portable Runtime).
Apache versions 2.0.40 à 2.0.45 pour la vulnérabilité du module HTTP Basic Authentication ;

Résumé

Deux vulnérabilités présentes dans le serveur HTTP Apache peuvent être exploitées par un utilisateur mal intentionné afin de réaliser un déni de service.

Description

4.1 vulnérabilité du module HTTP Basic Authentication

Une vulnérabilité présente dans le module HTTP Basic Authentication peut être exploitée par un utilisateur mal intentionné afin de réaliser un déni de service en interdisant l'accès à tout document protégé par un mot de passe.

4.2 Vulnérabilité dans la bibliothèque APR (Apache Portable Runtime)

APR (Apache Portable Runtime) est une bibliothèque utilisée par plusieurs modules notamment mod_dav.

Une vulnérabilité de type fuite de mémoire présente dans la routine apr_psprintf peut être exploitée par un utilisateur mal intentionné afin de réaliser un déni de service ou d'exécuter du code arbitraire à distance.

Solution

Installer la version 2.0.46 d'Apache :

http://httpd.apache.org

ou appliquer le correctif de l'éditeur :

Bulletin de sécurité MDKSA-2003:063 de Mandrake :

http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2003:063

Bulletin de sécurité RHSA-2003:186 de Red Hat :

http://rhn.redhat.com/errata/RHSA-2003-186.html

Documentation

Bulletin de sécurité d'iDEFENSE
http://www.idefense.com/advisory/05.30.03.txt
Annonce de la version 2.0.46 d'Apache :
http://www.apache.org/dist/httpd/Announcement2.html

Gestion détaillée du document

Date	Description
02 juin 2003	version initiale.