Aviso de seguridad de Debian

DSA-188-1 apache-ssl -- varias vulnerabilidades

Fecha del informe:
5 de nov de 2002
Paquetes afectados:
apache-ssl
Vulnerable:
Referencias a bases de datos de seguridad:
En la base de datos de Bugtraq (en SecurityFocus): Id. en BugTraq 5847, Id. en BugTraq 5884, Id. en BugTraq 5887, Id. en BugTraq 5995.
En el diccionario CVE de Mitre: CVE-2002-0839, CVE-2002-0840, CVE-2002-0843, CVE-2001-0131, CVE-2002-1233.
Información adicional:

Según David Wagner, iDEFENSE y el proyecto de servidor HTTP Apache, se han encontrado varias vulnerabilidades remotas explotables en el paquete Apache, un servidor web usado frecuentemente. La mayoría del código se comparte entre los paquetes Apache y Apache-SSL, por tanto las vulnerabilidades también se compartesn. Estas vulnerabilidades pueden permitir que un atacante logre una denegación de servicio contra un servidor o ejecutar un ataque de scripts a través del sitio, o robar cooker de otros usuarios en otro sitio web. Las vulnerabilidades en los programas heredados como htdigest, hptasswd y ApacheBench se pueden explotar cuando se llaman vía CGI. Adicionalmente, la creación de archivos temporales en htdigest y htpasswd también pueden explotarse localmente. El proyecto Common Vulnerabilities and Exposures (CVE) -Vulnerabilidades y Exposiciones Comunes- identificó las siguientes vulnerabilidades:

  1. CAN-2002-0839: Existe una vulnerabilidad en las plataformas que usen System V con memoria compartida basados en marcadores. Esta vulnerabilidad permite a un atacante que pueda ejecutar código bajo el UID de Apache para explotar el formato del marcador de memoria compartida de Apache y enviar una señal a cualquier proceso como root o causar un ataque de denegación de servicio local.
  2. CAN-2002-0840: Apache es susceptible a una vulnerabilidad de scripts a través del sitio en la página predeterminada 404 de cualquier servidor web alojado en un dominio que permita búsquedas DNS con comodines.
  3. CAN-2002-0843: Hay algunos desbordamientos posibles en la utilidad ApacheBench (ab), que se pueden explotar por un servidor malvado.
  4. CAN-2002-1233: Una condición de fuga en el programa htpasswd y htdigest activa que un usuario local malicioso pueda leer o incluso modificar los contenidos de un archivo de contraseñas o crear y sobreescribir fácilmente archivos como el usuario que esté ejecutando el programa htpasswd (o htdigest respectivamente; binarios no incluidos con apache-ssl).
  5. CAN-2001-0131: htpasswd y htdigest en Apache 2.0a9, 1.3.14, y otros permiten a los usuarios locales sobreescribir archivos arbitrarios vía un ataque de enlace simbólico.

    Esta es la misma vulnerabilidad que CAN-2002-1233, que se corrigió ya en potato, pero se perdió después y nunca se aplicó a la versión del autor (binarios no incluidos con apache-ssl).

  6. NO-CAN: Se han encontrado varios desbordamientos de búfer en la utilidad ApacheBench (ab), que se puede explotar por un servidor remoto que devuelva cadenas muy largas (binarios no incluidos con apache-ssl).

Estos problemas se han corregido en la versión 1.3.26.1+1.48-0woody3 por la distribución estable actual (woody) y en 1.3.9.13-4.2 para la distribución estable anterior (potato). Los paquetes corregidos para la distribución inestable (sid) se esperan en breve.

Le recomendamos que actualice el paquete Apache-SSL inmediatamente.

Arreglado en:

Debian GNU/Linux 2.2 (potato)

Fuentes:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.9.13-4.2.dsc
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.9.13-4.2.diff.gz
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.9.13.orig.tar.gz
Alpha:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.9.13-4.2_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.9.13-4.2_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.9.13-4.2_i386.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.9.13-4.2_m68k.deb
PowerPC:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.9.13-4.2_powerpc.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.9.13-4.2_sparc.deb

Debian GNU/Linux 3.0 (woody)

Fuentes:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.26.1+1.48-0woody3.dsc
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.26.1+1.48-0woody3.diff.gz
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.26.1+1.48.orig.tar.gz
Alpha:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.26.1+1.48-0woody3_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.26.1+1.48-0woody3_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.26.1+1.48-0woody3_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.26.1+1.48-0woody3_ia64.deb
HP Precision:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.26.1+1.48-0woody3_hppa.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.26.1+1.48-0woody3_m68k.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.26.1+1.48-0woody3_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.26.1+1.48-0woody3_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.26.1+1.48-0woody3_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.26.1+1.48-0woody3_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/a/apache-ssl/apache-ssl_1.3.26.1+1.48-0woody3_sparc.deb

Las sumas MD5 de los ficheros que se listan están disponibles en el aviso original.