Nous avons reçu des rapports comme quoi le paquet apache, inclus dans la distribution stable de Debian, est vulnérable à la faille de sécurité par listage d'un répertoire dont le chemin est artificiellement long comme décrit par SecurityFocus.
Cette faille de sécurité était annoncée sur bugtraq par Dan Harkless.
Selon SecurityFocus :
Un problème dans le paquet pouvait permettre l'indexation de répertoire et la découverte de chemin. Dans la configuration par défaut, Apache active mod_dir, mod_autoindex et mod_negotiation. Cependant, en plaçant une requête conçue à dessein pour le serveur Apache consistant en un long chemin créé artificiellement en utilisant beaucoup slashs (/), ceci peut causer ces modules à mal se comporter en évitant la page d'erreur et en fournissant un listing du contenu du répertoire.
Cette faille de sécurité permet à un utilisateur distant malveillant de lancer une attaque par collecte d'information, qui pouvait potentiellement résulter à la compromission du système. De plus, cette faille de sécurité affecte toute sortie de Apache antérieure à 1.3.19.
Ce problème a été corrigé dans apache-ssl 1.3.9-13.3 et apache 1.3.9-14. Nous vous recommandons de mettre à jour vos paquets immédiatement.
Attention : Le résultat MD5Sum des fichiers .dsc et .diff.gz ne correspondent pas étant donné qu'ils ont été copiés depuis la sortie stable après coups, le contenu du fichier .diff.gz est le même.
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.