Vulnérabilité dans Apache httpd

Risque

Déni de service à distance.

Systèmes affectés

Apache httpd versions 2.2.19 et antérieures;
Apache httpd versions 2.0.64 et antérieures;
Apache httpd versions 1.3.42 et antérieures.

Résumé

Une vulnérabilité présente dans Apache httpd permet à un utilisateur distant malintentionné de provoquer un déni de service.

Description

Une vulnérabilité relative à la gestion de certains paramètres d'en-tête HTTP est présente dans le serveur web Apache httpd. Elle permet à un utilisateur distant malintentionné de provoquer une consommation mémoire excessive du serveur au moyen d'une requête HTTP spécialement conçue.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité Apache du 30 août 2011 :

http://httpd.apache.org/security/vulnerabilities_22.html#2.2.20

Bulletin de sécurité Cisco cisco-sa-20110830-apache du 09 septembre 2011 :
```
http://www.cisco.com/warp/public/707/cisco-sa-20110830-apache.shtml
```
Bulletin de sécurité Debian DSA 2298 du 29 août 2011 :
```
http://www.debian.org/security/2011/dsa-2298
```

Bulletin de sécurité Hitachi HS11-019 du 05 septembre 2011 :

http://www.hitachi.co.jp/Prod/comp/soft1/security/info/vuls/HS11-019/index.html

Bulletin de sécurité HP c02997184 du 08 septembre 2011 :

http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c02997184

Bulletin de sécurité IBM ISS Xforce 69396 du 23 août 2011 :
```
http://xforce.iss.net/xforce/xfdb/69396
```

Bulletin de sécurité Mandriva MDVSA-2011:130 du 04 septembre 2011 :

http://www.mandriva.com/fr/support/security/advisories/?dis=2010&name=MDVSA-2011:130

Bulletin de sécurité Novell (Suse) CVE-2011-3192 du 06 septembre 2011 :
```
http://support.novell.com/security/cve/CVE-2011-3192.html
```
Bulletins de sécurité RedHat RHSA-2011:1245-1 31 août 2011 :
```
http://rhn.redhat.com/errata/RHSA-2011-1245.html
```
Bulletin de sécurité Ubuntu USN-1199-1 du 01 septembre 2011 :
```
http://www.ubuntulinux.org/usn/usn-1199-1
```

Alerte de sécurité Oracle du 15 septembre 2011 :

http://www.oracle.com/technetwork/topics/security/alert-cve-2011-3192-485304.html

Référence CVE CVE-2011-3192 :

https://www.cve.org/CVERecord?id=CVE-2011-3192

Référence	CERTA-2011-AVI-490-002
Titre	Vulnérabilité dans Apache httpd
Date de la première version	01 septembre 2011
Date de la dernière version	21 novembre 2011
Source(s)	Bulletin de sécurité Apache du 30 août 2011
Pièce(s) jointe(s)	Aucune(s)

Avis du CERT-FR

Objet: Vulnérabilité dans Apache httpd

Gestion du document