Risque

  • Déni de service ;
  • atteinte à la confidentialité des données ;

Systèmes affectés

  • Versions du serveur HTTP Apache antérieures à la version 1.3.30 ;
  • versions du serveur HTTP Apache antérieures à la version 1.3.31 pour la vulnérabilité sur mod_digest.

Description

Deux vulnérabilités sont présentes dans le serveur HTTP Apache :

  • Le serveur HTTP Apache ne filtre pas les séquences d'échappement de terminaux dans ses journaux d'erreurs. Cette vulnérabilité peut être exploitée afin de modifier certains fichiers ou bien d'effectuer un déni de service. Cette vulnérabilité est également présente sur Apache 2 sous MacOS X (cf avis CERTA-2004-AVI-156, section documentation) ;
  • une vulnérabilité sur le module mod_digest (authentification md5) est présente dans la vérification de la réponse d'authentification. Cette vulnérabilité permet à un utilisateur mal intentionné de rejouer une réponse afin de s'authentifier sur le système vulnérable.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation