Avis du CERT-FR

Description

subversion est un système de contrôle des versions de fichiers, ajoutant des fonctionnalités à CVS (Concurrent Versions System) telle la possibilité de copier, déplacer ou effacer des fichiers ou répertoires.
Un serveur subversion peut être mis en place à partir d'un module Apache, d'un service autonome (svnserver) ou à la demande encapsulé dans le protocole SSH.
Le module Apache mod_authz_svn fonctionne avec subversion afin de limiter les accès aux répertoires gérés par subversion en fonction d'une politique de sécurité définie par l'administrateur.
Une vulnérabilité du module Apache mod_authz_svn permet à un utilisateur d'écrire dans des répertoires non autorisés.

Contournement provisoire

• Désactiver le module Apache mod_authz_svn (utiliser le serveur svnserve à la place) ;
• garder les données sensibles dans des emplacements séparés des répertoires gérés par subversion.

Solution

• A partir des sources, mettre à jour subversion en version 1.0.6 ;

  http://subversion.tigris.org/tarballs/subversion-1.0.6.tar.bz2
  

• se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).