Avis du CERT-FR
Objet : Vulnérabilité dans auth_ldap pour Apache
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire à distance
Systèmes affectés
auth_ldap versions 1.6.0 et antérieures.
Résumé
Une vulnérabilité dans le module pour Apache auth_ldap permet à un utilisateur mal intentionné d'éxecuter du code arbitraire à distance.
Description
auth_ldap permet la mise en œuvre dans Apache de l'authentification à partir d'un annuaire LDAP (Lightweight Directory Access). Un manque de contrôle du nom d'utilisateur (username) fourni lors de l'authentification permet à un utilisateur distant mal intentionné d'exécuter du code arbitraire par le biais d'un nom d'utilisateur malicieusement constitué.
Solution
La version 1.6.1 de auth_ldap corrige le problème :
http://www.rudedog.org/auth_ldap/auth_ldap-1.6.1.tar.gz
Documentation
-
Bulletin de sécurité Debian DSA-952 du 23 janvier 2006 :
http://www.debian.org/security/2006/dsa-952 -
Bulletin de sécurité Mandriva MDKSA-2006:017 du 19 janvier 2006 :
http://wwwnew.mandriva.com/security/advisories,name=MDKSA-2006:017 -
Bulletin de sécurité RedHat RHSA-2006:0179 du 10 janvier 2006
http://rhn.redhat.com/errata/RHSA-2006-0179.html -
Liste des changements apportés dans la version 1.6.1 :
http://www.rudedog.org/auth_ldap/Changes.html -
Site de l'éditeur :
http://www.rudedog.org/auth_ldap -
Référence CVE CVE-2006-0150
https://www.cve.org/CVERecord?id=CVE-2006-0150
Gestion détaillée du document
| Date | Description |
|---|---|
| 10 janvier 2006 | version initiale. |
| 20 janvier 2006 | ajout de la référence au bulletin de sécurité Mandriva et à la référence CVE. |
| 23 janvier 2006 | ajout des références aux bulletins de sécurité RedHat et Debian. |