Avis du CERT-FR
Objet : Vulnérabilité du module mod_proxy du serveur HTTP Apache
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Déni de service
- Exécution de code arbitraire
Systèmes affectés
Serveur HTTP Apache versions 1.3.31, 1.3.29, 1.3.28, 1.3.27 et 1.3.26.
Résumé
Une vulnérabilité du module mod_proxy permet à un utilisateur mal intentionné de provoquer un déni de service sur le serveur vulnérable.
Description
Une vulnérabilité de type débordement de mémoire a été découverte dans le module mod_proxy du serveur HTTP Apache.
Cette vulnérabilité peut être exploitée à l'aide d'un en-tête Content-Length malicieusement choisi. Il faudra pour cela qu'un utilisateur mal intentionné puisse utiliser un serveur Apache vulnérable comme serveur mandataire (proxy) pour se connecter à un site web malveillant.
Cela provoquera l'arrêt du processus fils Apache chargé de traiter la requête.
Contournement provisoire
Désactiver le module mod_proxy.
Solution
La version 1.3.32-dev du serveur HTTP Apache corrige cette vulnérabilité.
Documentation
-
Avis de sécurité de Georgi Guninski #69 du 10 juin 2004
http://www.guninski.com/modproxy1.html -
Article sur la vulnérabilité mod_proxy sur le site d'Apache :
http://www.apacheweek.com/features/security-13 -
Bulletin de sécurité Debian DSA-525 du 24 juin 2004 :
http://www.debian.org/security/2004/dsa-525 -
Bulletin de sécurité Gentoo GLSA 200406-16 du 21 juin 2004 :
http://www.gentoo.org/security/en/glsa/glsa-200406-16.xml -
Bulletin de sécurité Mandrake MDKSA-2004:065 du 29 juin 2004 :
http://www.mandrakesoft.com/security/advisories?name=MDKSA-2004:065 -
Bulletin de sécurité OpenBSD pour Apache du 12 juin 2004 :
http://www.openbsd.org/errata.html -
Bulletin de sécurité RedHat RHSA-2004:245 du 14 juin 2004 :
http://rhn.redhat.com/errata/RHSA-2004-245.html -
Bulletin de sécurité SUN #57628 du 24 août 2004 :
http://sunsolve.sun.com/search/document.do?assetkey=1-26-57628-1
Gestion détaillée du document
| Date | Description |
|---|---|
| 11 juin 2004 | version initiale. |
| 22 juin 2004 | ajout des références aux bulletins de sécurité de Gentoo et OpenBSD. |
| 28 juin 2004 | ajout de la référence au bulletin de sécurité Debian. |
| 30 juin 2004 | ajout de la référence au bulletin de sécurité Mandrake. |
| 06 juillet 2004 | ajout de la référence au bulletin de sécurité RedHat. |
| 01 septembre 2004 | ajout de la référence au bulletin de sécurité SUN. |