Avis du CERT-FR
Objet : Multiples vulnérabilités dans Apache
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Déni de service
Systèmes affectés
- Apache versions 1.3.37 et antérieures ;
- Apache versions 2.0.59 et antérieures ;
- Apache versions 2.2.4 et antérieures.
Résumé
Plusieurs vulnérabilités sont présentes dans Apache et permettent à un utilisateur local de provoquer un déni de service et à un utilisateur distant de conduire une attaque de type « Cross-Site Scripting ».
Description
Trois vulnérabilités ont été identifiées dans le serveur web Apache :
- Une première faille dans les modules mod_status et mod_autoindex permet à un utilisateur distant de conduire une attaque de type « Cross-Site Scripting » ;
- une seconde dans le composant MPM (Multi-Processing Module) des versions 2.x de Apache permet à un utilisateur local au serveur de provoquer un arrêt inopiné de Apache ;
- une dernière vulnérabilité dans le module mod_cache permet à un utilisateur malintentionné distant de provoquer un arrêt de certains processus fils de Apache. Si le composant MPM (Multi-Processing Module) est utilisé, il est possible de provoquer un arrêt complet de Apache.
Solution
Se référer aux bulletins de sécurité des éditeurs pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Gentoo GLSA-200711-06 du 07 novembre 2007 :
http://www.gentoo.org/security/en/glsa/glsa-200711-06.xml -
Bulletin de sécurité Mandriva MDKSA-2007:140 du 04 juillet 2007 :
http://www.mandriva.com/security/advisories?name=MDKSA-2007:140 -
Bulletin de sécurité Mandriva MDKSA-2007:141 du 04 juillet 2007 :
http://www.mandriva.com/security/advisories?name=MDKSA-2007:141 -
Bulletin de sécurité Mandriva MDKSA-2007:142 du 04 juillet 2007 :
http://www.mandriva.com/security/advisories?name=MDKSA-2007:142 -
Bulletin de sécurité RedHat RHSA-2007:0533 du 26 juillet 2007 :
http://rhn.redhat.com/errata/RHSA-2007-0533.html -
Bulletin de sécurité RedHat RHSA-2007:0534 du 26 juillet 2007 :
http://rhn.redhat.com/errata/RHSA-2007-0534.html -
Bulletin de sécurité RedHat RHSA-2007:0556 du 26 juillet 2007 :
http://rhn.redhat.com/errata/RHSA-2007-0556.html -
Bulletin de sécurité RedHat RHSA-2007:0662 du 26 juillet 2007 :
http://rhn.redhat.com/errata/RHSA-2007-0662.html -
Bulletin de sécurité Ubuntu USN-499-1 du 16 août 2007 :
http://www.ubuntu.com/usn/usn-499-1 -
Bulletins de sécurité Apache du 31 juillet 2007 :
http://httpd.apache.org/security/vulnerabilities_20.html -
Bulletins de sécurité Apache du 31 juillet 2007 :
http://httpd.apache.org/security/vulnerabilities_13.html -
Bulletins de sécurité Apache du 31 juillet 2007 :
http://httpd.apache.org/security/vulnerabilities_22.html -
Référence CVE CVE-2006-5752
https://www.cve.org/CVERecord?id=CVE-2006-5752 -
Référence CVE CVE-2007-1863
https://www.cve.org/CVERecord?id=CVE-2007-1863 -
Référence CVE CVE-2007-3304
https://www.cve.org/CVERecord?id=CVE-2007-3304 -
Référence CVE CVE-2007-4465
https://www.cve.org/CVERecord?id=CVE-2007-4465
Gestion détaillée du document
| Date | Description |
|---|---|
| 01 août 2007 | version initiale. |
| 22 août 2007 | ajout de la référence au bulletin de sécurité Ubuntu. |
| 07 novembre 2007 | ajout de la référence CVE-2007-4465 et de la référence au bulletin de sécurité Gentoo. |