Avis du CERT-FR
Objet : Vulnérabilité du serveur HTTP Apache-SSL
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Accès non autorisé au serveur http apache-ssl
Systèmes affectés
Serveur HTTP Apache-SSL versions 1.3.28+1.52 et antérieures.
Résumé
Une vulnérabilité dans le serveur HTTP Apache-SSL permet à un utilisateur mal intentionné d'accèder au serveur sans autorisation.
Description
Apache-SSL est un serveur HTTP basé sur le serveur HTTP Apache et SSLeay/OpenSSL.
A l'aide de l'instruction SSLVerifyClient, il est possible de vérifier la présence d'un certificat côté client. Pour cela, le serveur nécessite un fichier contenant, pour chaque utilisateur autorisé à se connecter, le Distinguished Name (DN) du client, et le chiffrement du mot de passe par défaut password (la chaîne chiffrée est xxj31ZMTZzkVA).
Dans le cas où le certificat client est optionnel (la valeur de l'instruction SSLVerifyClient fixée à "1" ou à "3"), et si la directive SSLFakeBasicAuth est activée, il est alors possible pour une personne mal intentionnée d'usurper l'identité d'un utilisateur (le DN) pour se connecter au serveur.
Solution
La version 1.3.29+1.53 corrige cette vulnérabilité. Elle est disponible sur le site d'Apache-SSL (cf. section Documentation).
Documentation
-
Site du serveur HTTP Apache-SSL :
http://www.apache-ssl.org
Gestion détaillée du document
| Date | Description |
|---|---|
| 10 février 2004 | version initiale. |
| 12 mai 2004 | ajout référence au bulletin de sécurité FreeBSD. |