S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 05 mars 2002
N° CERTA-2002-AVI-049
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité SSL sous Apache

Gestion du document

Référence CERTA-2002-AVI-049
Titre Vulnérabilité SSL sous Apache
Date de la première version05 mars 2002
Date de la dernière version05 mars 2002
Source(s) Liste de diffusion Bugtraq
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance

Systèmes affectés

  • versions de Apache-ssl antérieures à la version 1.3.22-1.47.
  • Versions du module mod_ssl antérieures à la version 2.8.7-1.3.23;

Résumé

Une vulnérabilité de type « débordement de mémoire » présente dans le module mod_ssl et apache-ssl permet à un utilisateur mal intentionné l'exécution de code arbitraire à distance.

Description

SSL permet l'utilisation de connexions sécurisées sur des serveurs web (https://) ou autres serveurs sécurisés (ftps://).

Une vulnérabilité de type « débordement de mémoire » à été découverte dans le mécanisme de gestion de cache de sessions.

Cette vulnérabilité permet à un utilisateur mal intentionné de réaliser l'exécution de code arbitraire à distance.

Contournement provisoire

Désactiver le paramètre -DSSL dans le script httpd en attendant d'appliquer les correctifs.

Solution

Installer les correctifs disponibles sur

http://www.apache-ssl.org/

et sur

http://www.modssl.org/

Documentation

Gestion détaillée du document

    le 05 mars 2002
    version initiale.