Avis du CERT-FR
Objet : Multiples vulnérabilités du serveur HTTP Apache
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Déni de service
Systèmes affectés
- Versions du serveur HTTP Apache antérieures à la version 1.3.30 ;
- versions du serveur HTTP Apache antérieures à la version 1.3.31 pour la vulnérabilité sur mod_digest.
Description
Deux vulnérabilités sont présentes dans le serveur HTTP Apache :
- Le serveur HTTP Apache ne filtre pas les séquences d'échappement de terminaux dans ses journaux d'erreurs. Cette vulnérabilité peut être exploitée afin de modifier certains fichiers ou bien d'effectuer un déni de service. Cette vulnérabilité est également présente sur Apache 2 sous MacOS X (cf avis CERTA-2004-AVI-156, section documentation) ;
- une vulnérabilité sur le module mod_digest (authentification md5) est présente dans la vérification de la réponse d'authentification. Cette vulnérabilité permet à un utilisateur mal intentionné de rejouer une réponse afin de s'authentifier sur le système vulnérable.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Avis de sécurité CERTA-2004-AVI-156 :
http://www.certa.ssi.gouv.fr/site/CERTA-2004-AVI-156/ -
Avis de sécurité Gentoo GLSA 200405-22 :
http://security.gentoo.org/glsa/glsa-200405-22.xml -
Avis de sécurité Mandrake MDKSA-2004:046 :
http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2004:046 -
Mise à jour de sécurité du paquetage NetBSD apache :
ftp://ftp.netbsd.org/pub/NetBSD/packages/pkgsrc/www/apache/README.html
Gestion détaillée du document
| Date | Description |
|---|---|
| 18 mai 2004 | version initiale. |
| 27 mai 2004 | ajout de la référence au bulletin de sécurité Gentoo. |
| 30 juin 2004 | ajout de la référence au bulletin de sécurité NetBSD. |