S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 01 août 2006
N° CERTA-2006-AVI-315-003
Affaire suivie par: CERT-FR
le 01 août 2006

Avis du CERT-FR

Objet: Vulnérabilité dans Apache httpd

Gestion du document

Référence CERTA-2006-AVI-315-003
Titre Vulnérabilité dans Apache httpd
Date de la première version 01 août 2006
Date de la dernière version 08 septembre 2006
Source(s) Bulletin de sécurité de l'US-CERT #395412 du 27 juillet 2006
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance ;
  • déni de service à distance.

Systèmes affectés

  • Apache httpd version 1.3.36 et antérieures ;
  • Apache httpd version 2.0.58 et antérieures ;
  • Apache httpd version 2.2.2 et antérieures.

Résumé

Une vulnérabilité dans le serveur web Apache httpd permet à un utilisateur distant mal intentionné de provoquer un déni de service ou d'exécuter du code arbitraire.

Description

Apache httpd dispose d'un module nommé Rewrite (mod_rewrite) permettant la ré-écriture « à la volée » d'adresses réticulaires ( URL ). Une erreur dans ce module permet à un utilisateur distant mal intentionné de réaliser une attaque de type débordement de tampon. Il peut ainsi provoquer un déni de service ou exécuter du code arbitraire sur le serveur vulnérable par le biais d'une requête construite de façon particulière.

NB : Bien que ce module ne soit pas activé par défaut dans la version standard de Apache httpd, il peut en être autrement dans certaines distributions GNU/Linux ou dans d'autres systèmes d'exploitation.

Solution

Se référer aux bulletins de sécurité des éditeurs pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 01 août 2006
    version initiale.
    le 04 août 2006
    ajout des références aux bulletins de sécurité Gentoo, SuSE, Mandriva et Ubuntu.
    le 21 août 2006
    ajout des références IBM HTTP Server PK29154 et PK29156.
    le 08 septembre 2006
    ajout de la référence à la mise à jour Debian.