Avis du CERT-FR
Objet : Vulnérabilité dans mod_auth_pgsql pour Apache
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire à distance
Systèmes affectés
mod_auth_pgsql version 2.0.2b1 pour Apache 2.x. D'autres versions antérieures peuvent être affectées.
Résumé
Une vulnérabilité dans le module mod_auth_pgsql pour Apache 2.x permet à un utilisateur mal intentionné d'exécuter du code arbitraire à distance.
Description
mod_auth_pgsql permet la mise en œuvre dans Apache de l'authentification à partir d'une base de données PostgreSQL. Un manque de contrôle du nom d'utilisateur (username) fourni lors de l'authentification permet à un utilisateur distant mal intentionné d'exécuter du code arbitraire à distance par le biais d'un nom d'utilisateur malicieusement constitué.
Solution
La version 2.0.3 de mod_auth_pgsql corrige ce problème (voir Documentation).
Documentation
-
Bulletin de sécurité iDefense du 09 janvier 2006
http://www.idefense.com/application/poi/display?id=367 -
Bulletin de sécurité Debian DSA-935 du 10 janvier 2006 :
http://www.debian.org/security/2006/dsa-935 -
Bulletin de sécurité Gentoo GLSA 200601-05 du 10 janvier 2006 :
http://www.gentoo.org/security/en/glsa/glsa-200601-05.xml -
Bulletin de sécurité Mandriva MDKSA-2006:009 du 06 janvier 2006 :
http://frontal2.mandriva.com/security/advisories?name=MDKSA-2006:009 -
Bulletin de sécurité Red Hat RHSA-2006:0164 du 05 janvier 2006 :
http://rhn.redhat.com/errata/RHSA-2006-0164.html -
Version 2.0.3 de mod_auth_pgsql :
http://www.giuseppetanzilli.it/mod_auth_pgsql2/dist/
Gestion détaillée du document
| Date | Description |
|---|---|
| 11 janvier 2006 | version initiale. |
| 16 janvier 2006 | ajout des références aux bulletins de sécurité Mandriva et Gentoo. |