Ed Moyle achou um buffer overflow no Apache-SSL e mod_ssl recentemente. Com o "session caching" ativado, mod_ssl colocará em série variáveis de sessão SSL para usá-las posteriormente. Essas variáveis foram armazenadas em um buffer de tamanho fixo sem a checagem apropriada do limite do buffer.
Para explorar o overflow, o servidor deve estar configurado para requerer certificados do cliente, e um invasor deve obter um certificado do cliente cuidadosamente elaborado por ele que tenha sido assinado por uma Autoridade de Certificão que o servidor confie. Se ocorrerem essas duas coisas condições, é possível que um invasor execute códigos arbitrários no servidor.
Esse problema foi consertado na versão 1.3.9.13-4 do Apache-SSL e versão 2.4.10-1.3.9-1potato1 do libapache-mod-ssl para a distribuição estável do Debian assim como na versão 1.3.23.1+1.47-1 do Apache-SSL e versão 2.8.7-1 do libapache-mod-ssl para a distribuição instável e testing do Debian.
Nós recomendamos que você faça a atualização dos seus pacotes Apache-SSL e mod_ssl.
Checksums MD5 dos arquivos listados estão disponíveis no alerta original.